Données personnelles : Attention aux sanctions

Par Noémie SALLE, Juriste | Mis à jour le 05/08/2015 | Publié le 07/05/2012

Une absence de déclaration à la Commission nationale de l'informatique et des libertés (CNIL) peut avoir de lourdes conséquences pour les entreprises. Les sanctions prévues peuvent aller du simple avertissement à la peine d'emprisonnement assortie d'une amende élevée. En cas de sanction, sachez que des recours existent et qu'un avocat peut vous aider.

Une absence de déclaration à la CNIL

Tout fichier sous format papier ou informatisé comportant des données à caractère personnel doit en principe être déclaré à la CNIL. Il existe différents degrés de déclaration :

• Exonération de déclaration : certains fichiers contenant des données personnelles sont dispensés de formalités déclaratives auprès de la CNIL : la comptabilité générale, les activités des comités d'entreprise et d'établissement, la paie du personnel dans le secteur privé, les fichiers de fournisseurs, les fichiers de communication non commerciale, etc.
• Déclaration simplifiée : il suffit de remplir un formulaire, en ligne sur le site de la CNIL. C'est le cas par exemple de la mise en place de fichiers clients par une entreprise privée.
• L'autorisation préalable : le traitement de données présentant un risque particulier d'atteinte aux droits et libertés de la personne doivent obtenir une autorisation de la CNIL (le ministre compétent va rendre un arrêté après avis de la CNIL). C'est le cas par exemple lors de l'utilisation d'un système biométrique.

L'article 226-16 du Code pénal précise bien que « le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu'aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de cinq ans d'emprisonnement et de 300.000 Euros d'amende ».

La diversité des sanctions

La CNIL peut prononcer des sanctions administratives (avertissement, mise en demeure, une injonction de cesser le traitement, un retrait de l'autorisation,…). Elle peut également infliger des sanctions pécuniaires pouvant aller jusqu'à 150.000 euros, voire 300.000 euros en cas de manquement réitéré. S'il s'agit d'une entreprise, la sanction pécuniaire peut aller jusqu'à 5% du chiffre d'affaires.

Il existe également des sanctions pénales qui peuvent être lourdes. Le Code pénal sanctionne de nombreux comportements. Par exemple, la divulgation d'informations commise par imprudence ou négligence est punie de 3 ans d'emprisonnement et de 100.000 € d'amende. Le non-respect de l'obligation de sécurité est sanctionné de 5 ans d'emprisonnement et de 300.000 € d'amende. La communication d'informations à des personnes non-autorisées est punie de 5 ans d'emprisonnement et de 300.000 € d'amende.

La responsabilité civile du responsable du traitement peut être engagée sur le fondement de l'article 1382 du Code civil en raison du préjudice direct et personnel subi par la personne victime des négligences.

Des recours possibles

Il faut savoir qu'il existe des recours contre toute sanction. Il ne faut donc pas hésiter à faire appel à un avocat surtout lorsque l'on voit le montant des sommes en jeu et les peines encourues.

Le Conseil d'Etat peut être saisi d'une demande afin d'obtenir la suspension d'une sanction de la CNIL (article L. 521-1 du Code de justice administrative). Pour les sanctions civiles et pénales un recours sera toujours possible.

Les données à caractère personnel doivent faire l'objet d'un traitement spécifique. La CNIL encadre strictement le traitement de ces données. Il ne faut pas oublier de déclarer vos fichiers contenant de telles données sous peine d'être exposé à des sanctions. L’avocat peut être d’un grand secours dans la mesure où il peut se révéler être un correspondant informatique et liberté de choix. En pareille situation, Avocats PICOVSCHI saura répondre à vos attentes.