La réglementation sur les données personnelles touche à tous
les secteurs d’activité. Son objectif premier est de protéger la sphère privée
et l’auto-détermination informationnelle des individus. Ces enjeux, au cœur des
droits fondamentaux, pourraient naturellement appeler à une intervention du
droit pénal afin de garantir le respect des normes et la protection des
citoyens.
Pourtant, avec l’entrée en vigueur du RGPD, nous avons
assisté à une très large décriminalisation de cette branche du droit,
privilégiant désormais les sanctions administratives. Avec ses amendes
administratives très élevées, cette forme répression est sévère à certains
égards, mais elle n’embrasse pas l’intégralité des situations que le droit
pénal permettrait de couvrir.
De façon presque inaperçue, les « données
personnelles » ont cependant réintégré le droit pénal en 2023. Depuis,
l’article 509-1 du Code pénal sanctionne ceux qui, disposant d’une autorisation
d’accès à un système, y effectuent un traitement de données à caractère
personnel pour des finalités autres que celles pour lesquelles l’autorisation
d’accès a été accordée. De prime abord, cette nouvelle incrimination peut
convaincre. Néanmoins, une analyse plus approfondie révèle une multitude
d'interrogations que le présent ouvrage ambitionne de déchiffrer.
Jean-Luc Putz est avocat à la Cour, associé au sein de l’étude Arendt & Medernach. Il est spécialisé en
droit pénal des affaires et en droit du travail. Dans ces matières, il est auteur de nombreux livres, recueils
et articles. Il enseigne le droit du travail à l’Université du Luxembourg.
I. L'incrimination des atteintes aux données personnelles
1. Évolution législative
2. Régime général actuel : sanctions administratives
3. Situation dans nos pays voisins
II. Regard sur la nouvelle infraction insérée à l'article 509-1
1. Choix du principe
2. Éléments constitutifs de l'infraction
3. Aspects procéduraux
Conclusion
