Pas de seuil minimum de données pour la qualification de traitement de données à caractère personnel

Constitue un traitement de données à caractère personnel soumis aux dispositions de la loi du 6 janvier 1978 (obligation de déclaration…), le fichier contenant seulement deux notes d’évaluation relatif à une seule personne.

En effet, dans un arrêt du 8 septembre 2015, la chambre criminelle de la Cour de cassation a cassé un arrêt de la chambre de l’instruction qui avait considéré que le fichier contenant seulement deux notes d’évaluation d’une personne et divulgué par mégarde sur le réseau interne de l’ENA ne constituait pas un fichier de données personnelles.

A ce titre, Monsieur Y, responsable d’une direction à l’ENA, avait inscrit, dans un fichier enregistré sous le nom de sa secrétaire, deux notes d’évaluation portant sur le travail de Monsieur X, travaillant dans la même direction. Ce fichier insuffisamment sécurisé avait été diffusé sur tout le réseau interne de l’ENA.

Au visa de l’article 226-16 du code pénal, la Cour de cassation casse l’argumentation de la chambre de l’instruction au motif que la qualification de traitement de données à caractère personnel « n’exige pas le franchissement d’un seuil de données ou de fichiers ».

Par conséquent, même si le fichier ne visait qu’une seule personne, il était soumis à l’obligation de déclaration et aux formalités préalables découlant de la loi du 6 janvier 1978.