Source : Cour de cassation – Chambre criminelle —13 avril 2021 – n° 19-87.480

Une journaliste du quotidien d’informations régionales « La Voix du Nord » a constaté qu’une vidéo captée au cours d’une séance d’un conseil municipal était en ligne sur la page Facebook du maire de la commune dans laquelle s’était tenue cette réunion publique, ainsi que sur la page dédiée à cette même commune sur le site web de partage de vidéos YouTube.

Cette vidéo permettait d’identifier parfaitement cette personne et était accompagnée de commentaire la nommant et la suspectant ouvertement de collusion avec l’opposition municipale.

C’est dans ces conditions que cette journaliste a fait citer le maire de cette commune devant le Tribunal correctionnel et ce, en sa qualité de responsable de traitements de données à caractère personnel mis en place au sein de la mairie, l’accusant d’avoir collecté ces données, par un moyen frauduleux, déloyal ou illicite, et pour les savoir détournées de leur finalité.

Le Tribunal correctionnel avait relaxé le prévenu et donc débouté la journaliste de ses demandes.

La Cour d’appel avait confirmé le jugement attaqué, énonçant au préalable que :

  l’enregistrement d’une vidéo sur laquelle la partie civile était identifiable et identifiée caractérisait une donnée à caractère personnel ;

  la publication de cette vidéo sur la page Facebook du maire de la commune ainsi que sur la chaîne YouTube dédiée à cette commune caractérisait un traitement automatisé de cette donnée ;

Pour autant, la Cour relève que l’enregistrement litigieux a été effectué dans un lieu public, au terme d’une séance d’un conseil municipal et que le public était encore présent.

Elle ajoute que la partie civile assistait à cette séance à titre professionnel, en sa qualité de journaliste locale chargée de suivre l’actualité de la commune et en déduit que le traitement de données personnel litigieux ait été fautif

Un pourvoi était formé, fondé sur les articles suivants du Code pénal :

226-16 : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. »

226-18 : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. »

226-21 : «  Le fait, par toute personne détentrice de données à caractère personnel à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, de détourner ces informations de leur finalité telle que définie par la disposition législative, l’acte réglementaire ou la décision de la Commission nationale de l’informatique et des libertés autorisant le traitement automatisé, ou par les déclarations préalables à la mise en œuvre de ce traitement, est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. »

Dans son arrêt du 13 avril 2021 (pourvoi n°19-87.480), la Cour de cassation affirme que :

  il appartenait à la Cour d’appel, après avoir constaté l’existence de traitements automatisés de données à caractère personnel, de s’assurer que les finalités de ces traitements conformément aux dispositions de la loi n°78-17 du 8 janvier 1978, dites « loi Informatique et Libertés »

  il lui appartenait également de s’assurer que le responsable (le maire) du traitement en cause avait collecté les données à caractère personnel de manière loyale et licite.

Le traitement litigieux de données personnelles constituant une entorse à ces 2 principes, la Cour de cassation fait droit au recours de la journaliste, la circonstance suivant laquelle la réunion était publique étant sans effet sur le régime de traitement.

Cet arrêt permet de rappeler que la protection des données à caractère personnel trouve pleinement application lorsque des dispositifs vidéo enregistrent l’image d’individus identifiables.

A contrario, la protection de ces données doit être écartée si la vidéo ne peut pas permettre d’identifier, directement ou indirectement, la personne et/ou est réalisée par une personne physique dans le cadre de ses activités personnelles.