Tout fichier de données personnelles réalisé par l’employeur doit être déclaré à la CNIL avant à sa mise en œuvre

L’arrêt N°13-85587 de la Cour de Cassation du 8 septembre 2015 a indiqué que, conformément à l’article 226-16 du Code pénal, tout traitement de données à caractère personnel réalisé par un employeur doit être déclaré à la CNIL préalablement à sa mise en œuvre.

Dans cette décision de la Cour de cassation, cela avait pour objet la mise en place, dans un répertoire informatique accessible par le personnel sur intranet, des données à caractère personnel.

Cette disposition s’applique à la création d’un seul fichier de données personnelles accessible à des tiers même si ce fichier ne concerne qu’une seule personne, sans qu’il soit besoin d’atteindre un certain seuil de données traitées.

Les données à caractère personnel

La Loi 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés détermine les données à caractère personnel ainsi que les modalités de traitement, automatisés ou non, de ces données contenues ou appelées à figurer dans des fichiers.

1) Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres.

Pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne.

2) Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d’opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction.

3) Constitue un fichier de données à caractère personnel tout ensemble structuré et stable de données à caractère personnel accessibles selon des critères déterminés.

La personne concernée par un traitement de données à caractère personnel est celle à laquelle se rapportent les données qui font l’objet du traitement.

Les sanctions applicables

L’article 226-16 du Code pénal indique que, le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300.000 euros d’amende.

Ainsi, tout traitement de données à caractère personnel réalisé par un employeur doit être déclaré à la CNIL préalablement à sa mise en œuvre. Ce principe s’applique même en cas de création d’un seul fichier de données personnelles accessible à des tiers et si ce fichier ne concerne qu’une seule personne, sans qu’il soit besoin d’atteindre un certain seuil de données traitées.

Pour aller plus loin

Lire l’article sur : La CNIL – Commission Nationale de l’Informatique et des Libertés – définition – rôle – composition – fonctionnement – sanctions pénales

Lire l’article sur : La Délibération 2014-474 de la CNIL du 6 janvier 2015 permet une norme simplifiée n°57 relative aux écoutes et enregistrements téléphoniques sur le lieu de travail

Lire l’article sur : La décision CNIL du 12 juillet 2013 sanctionne un employeur pour utilisation abusive de la vidéosurveillance des salariés

Lire l’article sur : Un téléphone portable ou fixe professionnel mis à disposition d’un salarié doit être déclaré à la CNIL

Lire l’article sur la délibération du 3 janvier 2013 de la CNIL interdit la vidéosurveillance permanente de salariés sur les lieux de travail

Lire l’article sur un employeur ne peut pas surveiller les salariés avec un logiciel de Keylogger : Un test d’installation avec les touches CTRL ALT F9

© La rédaction – Infosdroits