Hors collection - Droit des données à caractère personnel - 1re - 330

330

DROIT

DES DONNÉES À CARACTÈRE PERSONNEL

ou par négligence). Comme pour les infractions réprimant les atteintes à la vie privée, il s'agit d'une
infraction d'intérêt privé, aucune poursuite ne peut être exercée sans plainte de la victime.
703. Non-respect des formalités préalables. L'article 226-16, alinéa 1er du Code pénal réprime le fait
de procéder - intentionnellement ou non - à un traitement de données sans avoir respecté les formalités préalables, ce qui recouvre aujourd'hui le fait d'avoir mis en œuvre un traitement de données sans
autorisation préalable de la CNIL là où elle est exigée83. Une peine de 5 ans de prison et de 300 000 €
d'amende est encourue.
704. Limitation de la durée de conservation. Est sanctionnée de la même manière, la conservation de
données au-delà de la durée prévue par la loi ou le règlement ou par la demande d'autorisation ou
d'avis faite auprès de la CNIL84. Cette incrimination ne s'applique pas au traitement réalisé à des fins
historiques, statistiques ou scientifiques.
705. Détournement de finalité. Le détournement de finalité d'un traitement de données à caractère
personnel prévue par la loi, le règlement ou une autorisation de la CNIL est sanctionné par les mêmes
peines85.
706. Conclusion. En dehors de ces hypothèses, la méconnaissance des principes applicables à tous
traitements de données à caractère personnel n'est pas sanctionnée pénalement, sauf à ce que ce
manquement corresponde aussi à un manquement au principe de responsabilité du responsable du
traitement.
b) Le principe de responsabilité
707. Incrimination. L'article 226-17 du Code pénal, dans sa rédaction issue de l'ordonnance du
12 décembre 2018 réprime « le fait de procéder ou de faire procéder à un traitement de données à
caractère personnel sans mettre en œuvre les mesures prescrites aux articles 24, 25, 30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6º de l'article 4 et aux articles 99 à 101 de la loi
nº 78-17 du 6 janvier 1978 ». Cette infraction intentionnelle sanctionne la méconnaissance du principe de responsabilité, de la protection des données dès la conception et par défaut, de la tenue d'un
registre des activités de traitement et de l'exigence de sécurité du traitement prévue par le
RGPD. Sont également visées les dispositions équivalentes issues de la directive (UE) 2016/680 et
transposées dans la loi du 6 janvier 197886. En définitive, c'est l'absence d'intégration du droit des
données à caractère personnel à l'organisation qui est sanctionnée.
708. Principe de légalité. Cette incrimination interroge par son ampleur. Certaines des dispositions
sanctionnées sont précisément définies par le législateur comme l'exigence de tenir un registre des
activités de traitement ou de mettre en place une journalisation des opérations de traitement.
D'autres ont des contours beaucoup plus flous comme le principe de responsabilité ou l'exigence de
sécurité du traitement. Ainsi, s'agissant de la documentation permettant de rapporter la preuve de la
conformité, la suffisance ou non de la documentation constituée dépend de la physionomie du traitement mis en œuvre. C'est aussi le cas de l'exigence de sécurité du traitement, qui repose sur une
analyse des risques et sur l'adoption de mesures garantissant un niveau de sécurité adapté au risque.
En dehors de quelques illustrations, ces mesures ne sont pas précisées par le législateur européen ou
interne, car elles varient selon les cas. Cela conduit à s'interroger sur la conformité à la Constitution

83.
84.
85.
86.

C. pén., art. 226-16.
C. pén., art. 226-20.
C. pén., art. 226-21.
L., 6 janv. 1978, art. 99 à 101.
Hors collection - Droit des données à caractère personnel - 1re

Table des matières de la publication Hors collection - Droit des données à caractère personnel - 1re
