Le principe de loyauté dans la collecte de données personnelles

Rares sont les décisions françaises relatives à la notion obscure de loyauté du traitement de données à caractère personnel, et exceptionnelles sont les décisions rendues dans cette matière par la Cour de cassation. Publié au Bulletin, l’arrêt rendu par la chambre criminelle de la Cour de cassation le 30 avril 2024 brille par sa clarté, en énonçant que « le fait que les données à caractère personnel collectées par [un enquêteur privé] aient été pour partie en accès libre sur internet ne retire rien au caractère déloyal de cette collecte, dès lors qu’une telle collecte, de surcroît réalisée à des fins dévoyées de profilage des personnes concernées et d’investigation dans leur vie privée, à l’insu de celles-ci, ne pouvait s’effectuer sans qu’elles en soient informées ».

L’arrêt attaqué se fondait sur l’article 226-18 du code pénal qui sanctionne le fait de « collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite ». Modifiée par la loi n° 2004-801 du 6 août 2004, cette disposition ne peut se lire qu’en parallèle avec le droit des données personnelles. En effet, la loi n° 2004-801 est le fruit d’une transposition de la directive 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, à laquelle le règlement général sur la protection des données (UE) 2016/679 du 27 avril 2016 (RGPD) a succédé.

La loi « Informatique et libertés » n° 78-17 du 6 janvier 1978 (LIL), pilier français du droit des données à caractère personnel, comporte en son article 4, 1°, le principe selon lequel les données à caractère personnel doivent être traitées de manière loyale. Antérieurement à la réforme de la loi par l’ordonnance n° 2018-1125 du 12 décembre 2018 ayant refondu la LIL après l’entrée en vigueur du RGPD, ce principe subsistait à l’ancien article 6, 1°, de la LIL, lui-même issu, comme l’article 226-18 du code pénal, de la loi n° 2004-801 du 6 août 2004. Ainsi, l’arrêt rendu par la chambre criminelle de la Cour de cassation sera analysé sous le double prisme des droits administratif et judiciaire.

En l’espèce, la Haute juridiction apporte une double analyse du principe de loyauté en droit des données à caractère personnel. D’une part, la décision confirme la corrélation entre le principe de loyauté et l’information de la personne concernée et, d’autre part, elle consacre le principe selon lequel des données personnelles librement accessibles sur internet ne peuvent être collectées sans en informer la personne concernée.

Loyauté de la collecte de données et obligations d’information

La chambre criminelle de la Cour de cassation affirme qu’est déloyale la collecte de données à caractère personnel réalisée à l’insu des personnes concernées, sans qu’elles en soient informées. Il en résulte une corrélation entre loyauté du traitement et information des personnes. À cet égard, la doctrine reste unanime. Par exemple, Olivia Tambou affirme que « les principes de loyauté et de transparence sont interdépendants » (Manuel de droit européen de la protection des données à caractère personnel, 1^re éd., Bruylant, 2020, n° 123). Se référant à l’ouvrage de Cécile de Terwangne et Karen Rosier (Le règlement général sur la protection des données. Analyse approfondie, Larcier, Crids, 2018, p. 90), Yves Poullet estime également que la loyauté « exige un minimum de transparence quant à l’existence du traitement et à son fonctionnement » (Le RGPD face aux défis de l’intelligence artificielle, Larcier, Crids, 2020, n° 18). Enfin, Thibault Douville considère que l’un des versants de la loyauté « se traduit par l’exigence de transparence du traitement » (Droit des données à caractère personnel, 1^re éd., Gualino, 2020, n° 166).

Cette assimilation se retrouve à la lecture des textes. Sous l’empire de la directive 95/46/CE, il était expressément spécifié que « le traitement loyal des données suppose que les personnes concernées puissent connaître l’existence des traitements...