Protection des données personnelles
Toute personne physique identifiée ou identifiable dont les données font l’objet d’un traitement, quel que soit son statut (consommateur, salarié, professionnel, internaute, etc.) bénéficie de la protection de ses données personnelles issue tant du RGPD du 27 avril 2016 que de la Loi informatique et libertés (LIL) du 6 janvier 1978.
Est une donnée à caractère personnel toute « information se rapportant à une personne physique identifiée ou identifiable », par exemple : nom, adresse, e-mail, numéro d’identification, données de localisation, identifiant en ligne, éléments relatifs à la situation économique, sociale, etc.
Les règles sur la protection des données personnelles s’appliquent dès lors qu’il existe un traitement (collecte, enregistrement, organisation, conservation, extraction, diffusion, etc.) portant sur des données à caractère personnel, et imposent au responsable du traitement de ces données de respecter de nombreux principes, tant pour leur collecte, que pour leur traitement.
Les articles 226-16 et suivants du Code pénal répriment les « atteintes aux droits de la personne résultant des fichiers ou des traitements informatiques » et notamment :
- le fait de procéder à un traitement sans respecter les formalités préalables exigées (C. pén., art. 226-16) ;
- le fait de ne pas mettre en œuvre des mesures de sécurité appropriées (C. pén., art. 226-17) ;
- la collecte de données par un moyen frauduleux, déloyal ou illicite (C. pén., art. 226-18) ;
- le traitement malgré l’opposition de la personne, pour la prospection ou pour des motifs légitimes (C. pén., art. 226-18-1) ;
- la conservation en mémoire informatisée, sans consentement exprès, de données « sensibles » (santé, opinions politiques, etc.) ou relatives aux infractions et condamnations (C. pén., art. 226-19) ;
- la conservation de données au-delà de la durée légale (C. pén., art. 226-20) ;
- le détournement de finalité des informations (C. pén., art. 226-21) ;
- la divulgation à un tiers non autorisé de données dont la révélation porterait atteinte à la considération ou à la vie privée de la personne, sans son autorisation (C. pén., art. 226-22) ;
- le transfert illicite de données vers un État non membre de l’Union ou une organisation internationale (C. pén., art. 226-22-1).
En cas de violation de vos données personnelles, il est par ailleurs possible d’engager une action individuelle devant le juge civil contre le responsable du traitement ou le sous-traitant pour faire constater la violation et/ou obtenir la cessation du traitement illicite et pour obtenir réparation du préjudice matériel et/ou moral sur le fondement de l’article 82 RGPD, ou de mener une action de groupe « données personnelles » par l’intermédiaire d’une association agréée.
Le droit des données personnelles est un contentieux en fort développement au sein de l’Union européenne, notamment en Allemagne, Autriche, Pays-Bas, avec de nombreuses décisions rendues sur le fondement de l’article 82 et une jurisprudence abondante de la CJUE depuis 2023-2025 en particulier en cas de cyberattaques et fuites de données à grande échelle.
