Un employeur ne peut pas mettre en place un système de traitement

Un employeur ne peut pas mettre en place un
système de traitement de données à
caractère personnel pour rechercher des
infractions pénales !
31 JANVIER 2016
L’arrêt N°375669 du Conseil d’État du 11 mai 2015 a indiqué qu’une société ne peut pas mettre en œuvre un
traitement de recherche des infractions à caractère pédopornographique que pourraient commettre ses
salariés.
La délibération N°2013-377 de la CNIL – Commission nationale de l’informatique et des libertés – du 5
décembre 2013 avait refusé d’autoriser la mise en œuvre de la société de ce traitement automatisé de données
à caractère personnel en matière d’infractions pédopornographiques. La société avait demandé au Conseil
d’État l’annulation de cette délibération pour excès de pouvoir.
Le projet de la société était d’instaurer un traitement de recherche pour rapprocher les consultations de sites
internet et les chargements de toute origine opérés à partir des postes informatiques de chacun de ses salariés
avec un fichier d’empreintes numériques correspondant à des contenus pédopornographiques communiqués
par les autorités de police afin, en cas de coïncidence, de provoquer une alerte, et à saisir, le cas échéant, les
autorités compétentes d’une infraction suspectée.
Les conditions de licéité des traitements de données à caractère personnel
Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions
suivantes :
- les données sont collectées et traitées de manière loyale et licite
- elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées
ultérieurement de manière incompatible avec ces finalités
- elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont
collectées et de leurs traitements ultérieurs
- elles sont exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises
pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou
traitées soient effacées ou rectifiées
- elles sont conservées sous une forme permettant l’identification des personnes concernées pendant une

durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.
Les fichiers de traitement automatisé relatifs aux infractions pénales
Toutefois, l’article 9 de la Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
prévoit que les traitements de données à caractère personnel relatives aux infractions, condamnations et
mesures de sûreté ne peuvent être mis en œuvre que par :
- Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le
cadre de leurs attributions légales
- Les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi
- Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle,
agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits
prévus aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits.
Ainsi, une société ne peut pas mettre en œuvre un traitement de recherche des infractions à caractère
pédopornographique que pourraient commettre ses salariés.