LA COUR DE CASSATION, CHAMBRE CRIMINELLE, a rendu l'arrêt suivant :
Statuant sur le pourvoi formé par :
- La société Aérazur,
contre l'arrêt de la cour d'appel de ROUEN, chambre correctionnelle, en date du 23 octobre 2014, qui, dans la procédure suivie contre elle du chef, notamment, de non-déclaration à la Commission nationale de l'informatique et des libertés d'un traitement automatisé de données personnelles, a prononcé sur les intérêts civils ;
La COUR, statuant après débats en l'audience publique du 15 décembre 2015 où étaient présents dans la formation prévue à l'article 567-1-1 du code de procédure pénale : M. Guérin, président, M. Monfort, conseiller rapporteur, M. Straehli, conseiller de la chambre ;
Greffier de chambre : Mme Randouin ;
Sur le rapport de M. le conseiller MONFORT, les observations de la société civile professionnelle GATINEAU et FATTACCINI, avocat en la Cour, et les conclusions de M. l'avocat général DESPORTES ;
Vu le mémoire et les observations complémentaires produits ;
Attendu qu'il résulte de l'arrêt attaqué et des pièces de procédure qu'à la suite de la production, par le directeur de la société Aérazur, dans une instance en diffamation contre plusieurs salariés de l'entreprise, d'un enregistrement d'images, issues du système de surveillance vidéo de l'établissement, de la distribution de tracts syndicaux, et après un contrôle de l'inspection du travail ayant abouti au constat de plusieurs irrégularités dans la mise en oeuvre de ce système, l'Union départementale du syndicat CGT de Seine-Maritime a fait citer la société Aérazur devant le tribunal correctionnel, des chefs de non-déclaration à la Commission nationale de l'informatique et des libertés (CNIL) d'un système de vidéosurveillance, et de diverses infractions à la loi du 6 janvier 1978, au code du travail, et au code pénal ; que le tribunal ayant annulé partiellement la citation introductive d'instance, et relaxé la prévenue du chef de défaut de déclaration à la CNIL, la partie civile a relevé appel de cette décision ;
En cet état :
Sur le premier moyen de cassation, pris de la violation des articles 6, § 3, de la Convention européenne des droits de l'homme, préliminaire, 551, 565, 591 et 593 du code de procédure pénale, défaut de motifs, manque de base légale ;
"en ce que l'arrêt attaqué a confirmé le jugement déféré sur le rejet des autres branches du moyen de nullité de la citation ;
"aux motifs que sous la seule réserve des deux infractions susvisées, ayant donné lieu à annulation partielle de la citation délivrée par l'Union départementale du syndicat CGT de Seine-Maritime, celle-ci vise expressément, dans le corps des développements de l'acte ou dans la synthèse présentée en fin de l'acte, la qualification de l'ensemble des infractions dénoncées, ainsi que les textes de répression qui leur sont actuellement applicables, ou qui leur étaient applicables à la date des faits dénoncés ; que, plus précisément, sur l'infraction d'enregistrement d'images sur la voie publique sans autorisation préfectorale, l'article 10 de la loi du 21 janvier 1995 a été abrogé par l'article 19 de l'ordonnance du 12 mars 2012, laquelle est entrée en vigueur, en vertu de son article 22, le 1er mai 2012, premier jour du deuxième mois suivant sa publication au Journal officiel ; que l'article 10 de la loi du 21 janvier 1995, ainsi abrogé à compter du 1er mai 2012, antérieurement à l'acte de citation qui en fait mention, était cependant bien applicable durant la période des faits dénoncés par la partie civile ; que par ailleurs, cette abrogation allait de pair avec la codification à droit constant, de cette disposition dans les articles L. 223-1 et suivants du code de la sécurité intérieure ; que dès lors, cette évolution législative n'est pas une cause de nullité de la citation ; que, par ailleurs, les termes des développements de cette citation, relatant la chronologie des faits, faisant mention notamment d'une installation du système en 1996 ou 1997, de la réponse fournie par la CNIL au syndicat CGT en février 2011, de la déclaration du système de vidéo surveillance à la CNIL effectuée par la société Aérazur le 22 septembre 2011, de l'utilisation litigieuse des enregistrements vidéo lors de la procédure pénale en diffamation diligentée en décembre 2010, constituent une information suffisamment précise pour que les représentants de la société défenderesse comprennent la nature et la période des faits qui leur sont reprochés ; que dès lors, le jugement déféré sera confirmé sur le rejet des autres branches du moyen de nullité de la citation, invoquées par la société Aérazur ;
"alors qu'il résulte des articles 551, alinéa 2, du code de procédure pénale, ensemble l'article 6, § 3, de la Convention européenne des droits de l'homme et de l'article préliminaire du code de procédure pénale, d'une part, que la citation doit énoncer le fait poursuivi et viser le texte de loi qui le réprime, et, d'autre part, que tout prévenu a le droit d'être informé avec certitude et précision de la nature et de la cause de la prévention dont il est l'objet ; que tel ne peut être le cas d'une citation visant cumulativement six délits au visa pêle-mêle de nombreux textes, non reportés précisément à des infractions nettement distinguées, entrés en vigueur à des époques diverses allant de 2002 à 2009, ou abrogés antérieurement à la citation sans mention de leur recodification (ainsi de l'article 10 de la loi du 21 janvier 1995), s'abstenant, de surcroît, de toute précision quant à la période de prévention et à la date des faits reprochés pour chacun des différents délits visés ; qu'en limitant l'annulation de la citation à deux des six infractions visées, pour lesquelles le texte de répression était pour l'une inexact, pour l'autre non cité, quand il résultait de ses propres constatations que l'article 10 de la loi du 21 janvier 1995, seul visé par la citation s'agissant du délit d'enregistrement d'images sur la voie publique sans autorisation préfectorale, avait été abrogé à compter du 1er mai 2012 antérieurement à l'acte de citation, et qu'aucune période de prévention n'était indiquée à l'exclusion d'une chronologie des faits allant de l'installation du système en 1996 ou 1997 à une déclaration à la CNIL du 22 septembre 2011, de sorte qu'il en résultait nécessairement une incertitude pour la prévenue, tant sur les textes applicables aux délits reprochés qu'à la période non prescrite au cours de laquelle ils auraient été commis, la cour d'appel a méconnu les textes susvisés et le principe ci-dessus rappelé" ;
Attendu que, pour confirmer l'annulation partielle de la citation, prononcée par le jugement déféré, pour les infractions d'absence d'information préalable des salariés sur l'installation d'un système de vidéosurveillance, et d'absence de consultation du comité d'entreprise préalablement à cette installation, et rejeter les autres moyens de nullité de la citation invoqués par la société prévenue concernant les autres infractions poursuivies, l'arrêt prononce par les motifs repris au moyen ;
Attendu qu'en statuant ainsi, la cour d'appel a justifié sa décision, dès lors que l'acte répondait, pour ces autres infractions, aux prescriptions de l'article 551, alinéa 2, du code de procédure pénale, et comportait une information suffisamment précise pour que les organes ou représentants de la société défenderesse comprennent la nature et la cause de l'accusation portée contre celle-ci ;
D'où il suit que le moyen ne saurait être accueilli ;
Sur le deuxième moyen de cassation, pris de la violation des articles L. 2132-3 et L. 2133-3 du code du travail, 2, 591 et 593 du code de procédure pénale, défaut de motifs, manque de base légale ;
"en ce que l'arrêt attaqué a dit que l'Union départementale du syndicat CGT de Seine-Maritime avait bien intérêt à agir à l'encontre de la société Aérazur pour obtenir réparation du préjudice éventuellement subi par la partie civile du fait du délit d'omission de déclaration auprès de la CNIL d'un système de vidéosurveillance ;
"aux motifs que, en vertu de l'article L. 2132-3 du code du travail, un syndicat professionnel peut, devant toutes les juridictions, exercer tous les droits reconnus à la partie civile concernant les faits portant préjudice direct ou indirect à l'intérêt collectif de la profession qu'il représente ; que doivent être distingués, d'une part, l'appréciation de la recevabilité de l'action de la partie civile, qui implique uniquement la possibilité d'un préjudice résultant des faits poursuivis, et, d'autre part, la décision sur le bien fondé des demandes de la partie civile, qui suppose que soit établie la réalité du préjudice en lien avec ces faits ; que, par ailleurs, le lien de causalité, entre l'infraction poursuivie et le préjudice invoqué par la partie civile, ne doit pas s'apprécier a priori, de manière abstraite, en fonction de la seule qualification juridique de l'infraction, mais en fonction de la nature des faits poursuivis, selon chaque cas d'espèce ; que le fait qu'une infraction ait porté atteinte aux droits d'un nombre limité de salariés dans une entreprise ne fait aucunement obstacle à ce que soit appréciée la possibilité, puis la réalité du préjudice découlant de cette infraction pour l'intérêt collectif représenté par un syndicat professionnel ; qu'en outre, le fait qu'une infraction ait été commise au sein d'une entreprise, ne fait aucunement obstacle à ce que soient appréciées la possibilité et la réalité du préjudice en découlant pour l'intérêt collectif représenté par une Union départementale de syndicats professionnels, au-delà du syndicat défendant les seuls intérêts des salariés de cette entreprise ; qu'en l'espèce, les faits d'omission de déclaration, auprès de la CNIL, du système de vidéo surveillance, sont susceptibles, à supposer qu'ils soient établis, d'avoir causé un préjudice aux intérêts collectifs représentés par l'Union départementale du syndicat CGT de Seine-Maritime ; qu'en effet, il s'agit de faits qui auraient été commis par l'employeur au sein même d'un site de production situé dans le département de la Seine-Maritime ; et concernant un système de surveillance ayant pour conséquence, sinon pour objet, l'enregistrement de salariés dans l'exercice de leur activité, l'omission de cette déclaration à la CNIL étant alors susceptible de favoriser les atteintes à l'intimité de ces salariés au sein de l'entreprise, ou les atteintes à l'exercice du droit syndical ;
"1°) alors qu'il résulte des articles L. 2132-3 et L. 2133-3 du code du travail qu'une union de syndicats professionnels ne peut exercer les droits réservés à la partie civile, qu'en ce qui concerne les faits portant préjudice direct ou indirect à l'intérêt collectif des professions qu'elle représente ; que, pour déclarer recevable la constitution de partie civile de l'Union départementale du syndicat CGT de Seine-Maritime, l'arrêt retient que les faits d'omission de déclaration auprès de la CNIL, du système de vidéosurveillance auraient été commis par l'employeur au sein même d'un site de production situé dans le département de la Seine-Maritime et concernant un système de surveillance ayant pour conséquence sinon pour objet, l'enregistrement de salariés dans l'exercice de leur activité ; qu'en prononçant ainsi quand l'omission de déclaration à la CNIL d'un système de vidéo-surveillance au sein d'un établissement était insusceptible de porter atteinte à l'intérêt collectif de tous les salariés représentés par les unions locales des différentes professions regroupées par l'Union départementale CGT, la cour d'appel a méconnu le sens et la portée des textes visés au moyen ;
"2°) alors que l'action fondée sur l'atteinte à la vie privée n'est pas ouverte à un syndicat chargé de la défense des intérêts collectifs ; qu'en déclarant recevable l'action diligentée devant la juridiction correctionnelle par l'Union départementale du syndicat CGT de Seine-Maritime, après avoir affirmé que l'omission de la déclaration à la CNIL était susceptible de favoriser les atteintes à l'intimité des salariés au sein de l'entreprise, la cour d'appel n'a pas tiré de ses constatations les conséquences légales qui s'en imposaient ;
"3°) alors qu'une union syndicale ne peut exercer les droits réservés à la partie civile lorsque le préjudice indirect qui serait porté à l'intérêt collectif des professions qu'elle représente, par le délit d'omission de déclaration à la CNIL d'un système de vidéosurveillance, ne se distingue pas du préjudice lui-même indirect qu'auraient pu subir individuellement les salariés de l'entreprise en raison de l'utilisation des enregistrements effectués par vidéosurveillance dans le cadre d'une procédure pénale en diffamation ; qu'en l'espèce, le préjudice retenu par les juges ne résultait pas de l'enregistrement des salariés dans l'exercice de leur activité, mais des atteintes susceptibles d'être portées aux salariés du fait de leur utilisation par l'employeur, de sorte que le préjudice retenu n'était qu'une conséquence indirecte de l'omission de déclaration à la CNIL reprochée à la citation ; qu'en déclarant recevable l'action de la partie civile sur le fondement d'un préjudice indirectement causé par le délit d'omission de déclaration à la CNIL d'un système de vidéosurveillance, la cour d'appel a méconnu les textes visés au moyen et privé sa décision de toute base légale" ;
Attendu que, pour déclarer recevable l'action de l'Union départementale du syndicat CGT de Seine-Maritime à l'encontre de la société Aérazur des chefs d'omission de déclaration à la CNIL d'un système de vidéosurveillance, de non-respect de la finalité du système de traitement des données nominatives, de conservation en mémoire informatique de données nominatives sensibles relatives à l'appartenance syndicale, de traitement de données à caractère personnel sans le consentement de la personne concernée, et d'absence d'autorisation préfectorale pour filmer la voie publique, l'arrêt retient, par les motifs repris au moyen, que les faits sont susceptibles d'avoir causé un préjudice aux intérêts collectifs représentés par cette union de syndicats ;
Attendu qu'en prononçant ainsi, la cour d'appel a justifié sa décision, dès lors que, d'une part, les faits, commis par l'employeur au sein du site de production et à ses abords immédiats, avaient pour conséquence de permettre l'enregistrement illicite de l'image des salariés dans leur activité, et notamment dans l'exercice de leurs droits syndicaux, et d'en permettre le traitement et la conservation, sans le consentement des intéressés, d'autre part, les syndicats professionnels peuvent exercer tous les droits réservés à la partie civile concernant les faits portant un préjudice direct ou indirect à l'intérêt collectif de la profession qu'ils représentent ;
D'où il suit que le moyen ne peut qu'être écarté ;
Sur le troisième moyen de cassation, pris de la violation des articles 6, § 2, de la Convention européenne des droits de l'homme, 9-1, alinéa 1er, du code civil, 121-2 et 226-16 du code pénal, préliminaire, 2, 459, 512 591 et 593 du code de procédure pénale, défaut et contradiction de motifs, défaut de réponse à conclusions, manque de base légale ;
"en ce que l'arrêt attaqué a constaté que l'infraction de non respect des formalités préalables à la mise en oeuvre d'un système de traitement de données à caractère personnel, par omission de déclaration d'un système de vidéosurveillance à la CNIL était constituée à l'égard de la société Aérazur, l'a déclarée responsable du préjudice subi par l'Union départementale du syndicat CGT de Seine-Maritime, et l'a condamnée à lui verser la somme de 10 000 euros en réparation du préjudice moral résultant de cette infraction ;
"aux motifs que sur le délit d'omission de déclaration à la Commission nationale informatique et libertés du système de vidéosurveillance ayant servi pour l'enregistrement litigieux, la mise en oeuvre d'un système de traitement de données nominatives sans avoir procédé aux formalités préalables constitue une infraction continue dont le délai de prescription ne court qu'à compter de la cessation de l'infraction ; qu'en l'espèce, il est donc nécessaire de déterminer quelles étaient les exigences légales, concernant ces formalités, applicables à la conservation des images de vidéosurveillance faisant l'objet du litige, non seulement lors de l'utilisation de ces données dans le cadre d'une procédure en diffamation en 2010, mais également à l'occasion de l'installation du système en 1996, et lors de sa modification en 2007 ; que s'agissant des dispositions applicables au moment de l'installation initiale du système de vidéosurveillance en 1996, les articles 4 et 5 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans leur version en vigueur en 1996 et 1997 prévoyaient que : « article 4, Sont réputées nominatives au sens de la présente loi les informations qui permettent, sous quelque forme que ce soit, directement ou non, l'identification des personnes physiques auxquelles elles s'appliquent, que le traitement soit effectué par une personne physique ou par une personne morale » ; article 5 : « Est dénommé traitement automatisé d'informations nominatives au sens de la présente loi tout ensemble d'opérations réalisées par des moyens automatiques, relatif à la collecte, l'enregistrement, l'élaboration, la modification, la conservation et la destruction d'informations nominatives ainsi que tout ensemble d'opérations de même nature se rapportant à l'exploitation de fichiers ou bases de données et notamment les interconnexions ou rapprochements, consultations ou communications d'informations nominatives » ; que l'article 16 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et libertés, dans sa version en vigueur en 1996 et 1997 prévoyait que : « les traitements automatisés d'informations nominatives effectués pour le compte de personnes autres que celles qui sont soumises aux dispositions de l'article doivent, préalablement à leur mise en oeuvre, faire l'objet d'une déclaration, auprès de la Commission nationale de l'informatique et des libertés. Cette déclaration comporte l'engagement que le traitement satisfait aux exigences de la loi. Dès qu'il a reçu le récépissé délivré sans délai par la commission, le demandeur peut mettre en oeuvre le traitement. Il n'est exonéré d'aucune de ses responsabilités » ; qu'enfin, en vertu de l'article 19 de la loi du 6 janvier 1978 dans sa rédaction en vigueur en 1996, « la demande d'avis ou la déclaration doit préciser : - la personne qui présente la demande et celle qui a pouvoir de décider la création du traitement ou, si elle réside à l'étranger, son représentant en France ; - les caractéristiques, la finalité et, s'il y a lieu, la dénomination du traitement ; - le service ou les services chargés de mettre en oeuvre celui-ci ; - le service auprès duquel s'exerce le droit d'accès défini au chapitre V ci-dessous, article 34 à article 40, ainsi que, les mesures prises pour faciliter l'exercice de ce droit ; - les catégories de personnes qui, à raison de leurs fonctions ou pour les besoins du service, ont directement accès aux informations enregistrées ; - les informations nominatives traitées, leur origine et la durée de leur conservation ainsi que leurs destinataires ou catégories de destinataires habilités à recevoir communication de ces informations ; - les rapprochements, interconnexions ou toute autre forme de mise en relation de ces informations ainsi que leur cession à des tiers ; - les dispositions prises pour assurer la sécurité des traitements et des informations et la garantie des secrets protégés par la loi ; - si le traitement est destiné à l'expédition d'informations nominatives entre le territoire français et l'étranger, sous quelque forme que ce soit, y compris lorsqu'il est l'objet d'opérations partiellement effectuées sur le territoire français à partir d'opérations antérieurement réalisées hors de France. Toute modification aux mentions énumérées ci-dessus, ou toute suppression de traitement, est portée à la connaissance de la commission. Peuvent ne pas comporter certaines des mentions énumérées ci-dessus les demandes d'avis relatives aux traitements automatisés d'informations nominatives intéressant la sûreté de l'Etat, la défense et la sécurité publique » ; que s'agissant des dispositions applicables depuis le 7 août 2004, et donc à l'occasion de la modification du système survenue en 2007, ou lors de l'utilisation litigieuse des enregistrements en décembre 2010 ; dans sa version en vigueur depuis le 7 août 2004, l'article 2 de la loi du 6 janvier 1978, énonce que « la présente loi s'applique aux traitements automatisés de données à caractère personnel, ainsi qu'aux traitements non automatisés de données à caractère personnel contenues ou appelées à figurer dans des fichiers, à l'exception des traitements mis en oeuvre pour l'exercice d'activités exclusivement personnelles, lorsque leur responsable remplit les conditions prévues à l'article 5. Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne. Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction ; que constitue un fichier de données à caractère personnel tout ensemble structuré et stable de données à caractère personnel accessibles selon des critères déterminés. La personne concernée par un traitement de données à caractère personnel est celle à laquelle se rapportent les données qui font l'objet du traitement » ; que l'article 6 de ladite loi, dans sa rédaction en vigueur depuis le 7 août 2004, dispose que : « article 6 : le traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : 1°- les données sont collectées et traitées de manière loyale et licite ; 2°- elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités ; que, toutefois, un traitement ultérieur de données à des fins statistiques ou à des fins de recherche scientifique ou historique est considéré comme compatible avec les finalités initiales de la collecte des données, s'il est réalisé dans le respect des principes et des procédures prévus au présent chapitre, au chapitre IV et à la section 1 du chapitre V ainsi qu'aux chapitres IX et X et s'il n'est pas utilisé pour prendre des décisions à l'égard des personnes concernées ; 3°- elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ; 4°- elles sont exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées ; 5°- elles sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées » ; que l'article 22 de cette loi, dans sa version en vigueur depuis le 7 août 2004 prévoit que : « I. - à l'exception de ceux qui relèvent des dispositions prévues aux articles 25, 26 et 27 ou qui sont visés au deuxième alinéa de l'article 36, les traitements automatisés de données à caractère personnel font l'objet d'une déclaration auprès de la Commission nationale de l'informatique et des libertés ; II. - toutefois, ne sont soumis à aucune des formalités préalables prévues au présent chapitre : 1°) les traitements ayant pour seul objet la tenue d'un registre qui, en vertu de dispositions législatives ou réglementaires, est destiné exclusivement à l'information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d'un intérêt légitime ; 2°) les traitements mentionnés au 3° du II de l'article 8...(suite de l'article sans lien avec les faits) » ; qu'en vertu de l'article 30 de la loi du 6 janvier 1978 dans sa version résultant de l'entrée en vigueur de la loi du 23 janvier 2006 : « I. - Les déclarations, demandes d'autorisation et demandes d'avis adressées à la Commission nationale de l'informatique et des libertés en vertu des dispositions des sections 1 et 2 précisent : 1°- l'identité et l'adresse du responsable du traitement ou, si celui-ci n'est établi ni sur le territoire national ni sur celui d'un autre Etat membre de la Communauté européenne, celle de son représentant et, le cas échéant, celle de la personne qui présente la demande ; 2°- la ou les finalités du traitement, ainsi que, pour les traitements relevant des articles 25, 26 et 27, la description générale de ses fonctions ; 3°- le cas échéant, les interconnexions, les rapprochements ou toutes autres formes de mise en relation avec d'autres traitements ; 4°- les données à caractère personnel traitées, leur origine et les catégories de personnes concernées par le traitement ; 5°- la durée de conservation des informations traitées ; 6°- le ou les services chargés de mettre en oeuvre le traitement ainsi que, pour les traitements relevant des articles 25, 26 et 27, les catégories de personnes qui, en raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ; 7°- les destinataires ou catégories de destinataires habilités à recevoir communication des données ; 8°- la fonction de la personne ou le service auprès duquel s'exerce le droit d'accès prévu à l'article 39, ainsi que les mesures relatives à l'exercice de ce droit ; 9°- les dispositions prises pour assurer la sécurité des traitements et des données et la garantie des secrets protégés par la loi et, le cas échéant, l'indication du recours à un sous-traitant ; 10°- le cas échéant, les transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne, sous quelque forme que ce soit, à l'exclusion des traitements qui ne sont utilisés qu'à des fins de transit sur le territoire français ou sur celui d'un autre Etat membre de la Communauté européenne au sens des dispositions du 2° du I de l'article 5 ...: II. - le responsable d'un traitement déjà déclaré ou autorisé informe sans délai la commission : - de tout changement affectant les informations mentionnées au I : - de toute suppression du traitement » ; que le non-respect des formalités préalables à la mise en oeuvre d'un système de traitement de données à caractère personnel est réprimé, depuis l'entrée en vigueur de la loi du 6 août 2004, par l'article 226-16 du code pénal prévoyant une peine de cinq ans d'emprisonnement et 300 000 euros d'amende ; qu'auparavant, lors de l'installation du système litigieux en 1996, et jusqu'au 31 décembre 2001, cette infraction était réprimée par l'article 226-16 du code pénal, lequel prévoyait cependant une peine de trois années d'emprisonnement et 300 000 francs d'amende ; qu'entre le 1er janvier 2002 et la 6 août 2004, cette infraction était réprimée par le même texte, par un emprisonnement d'une durée de trois ans et une amende d'un montant de quarante cinq mille euros ; qu'en l'espèce, sur l'installation du système de caméras en 1996, malgré le caractère très vague des informations fournies, concernant les caractéristiques du système de vidéosurveillance installé en 1996, sur le site Aérazur, et l'incertitude sur l'utilisation, dès l'origine, d'un système informatique de stockage ou de transmission des images enregistrées par la ou les caméras installées, on doit considérer que les dispositions de la loi du 6 janvier 1978, qui étaient en vigueur en 1996, susvisées, étaient bien applicables à cette ou à ces caméras de surveillance ; qu'il s'agissait, dès l'origine d'un système automatisé d'enregistrement de données, données nominatives, puisque concernant spécifiquement les salariés de la société Aérazur, salariés dont l'identification était aisée pour l'utilisateur du système ; que le fait qu'une ou que des caméras de surveillance enregistrent les images sur la voie publique ne fait pas obstacle à l'application de la loi du 6 janvier 1978, dès lors qu'il s'agit seulement de la voie publique aux abords immédiats du site privé, en l'espèce devant l'entrée ; que la société Aérazur ne produit ne fait état d'aucun élément, matériel ou juridique, qui aurait été susceptible de la dispenser de respecter l'obligation de déclarer ce système de vidéosurveillance à la CNIL, avant sa mise en oeuvre ; que, notamment, le classement confidentiel défense de l'entreprise qui impliquait l'obligation réglementaire ou contractuelle de mettre en oeuvre ce système, ne faisait pas échec à l'application de l'obligation de la déclarer auprès de la CNIL ; que la partie civile produit aux débats l'information fournie par la CNIL, en février 2011, selon laquelle aucune formalité de déclaration du système litigieux n'avait encore été effectuée par la société Aérazur ; que les dispositions de la loi du 6 janvier 1978, telles qu'applicables en 1996, prévoyaient déjà qu'un système de traitement des données devant faire l'objet d'une déclaration à la CNIL ne pouvait pas être mis en oeuvre avant que l'utilisateur n'ait reçu le récépissé de l'accomplissement de cette formalité ; qu'or, la société Aérazur ne produit pas le récépissé de la déclaration qu'elle prétend avoir effectuée à l'occasion de l'installation du système en 1996 ; que les deux attestations produites par la société Aérazur émanant d'anciens responsables de l'entreprise sont, quelle que soit la bonne foi de leurs auteurs, inopérantes pour établir le respect de cette obligation de déclaration à la CNIL ; qu'en effet, cette obligation légale n'est remplie que si la déclaration comporte l'ensemble des mentions exigées par la loi, notamment, quant à la finalité exacte du traitement des données nominatives, quant aux caractéristiques du système installé, quant aux personnes ayant accès aux données ou concernées par ces données, etc¿ que le récépissé de la déclaration n'est transmis à l'utilisateur, et le système de traitement des données ne peut donc être mis en oeuvre que si l'ensemble de ces informations ont été correctement fournies à la CNIL ; qu'aucune de ces attestations produites par la société Aérazur ne permet de supposer que la déclaration à la CNIL, qui aurait été effectuée selon les attestants, comportait bien les mentions exigées par la loi ; que l'absence de récépissé de cette déclaration vient au contraire confirmer l'information, donnée par l'organisme public, sur le non accomplissement de cette formalité ; que par ailleurs, l'explication suggérée par la société Aérazur, concernant un éventuel problème d'archivage, à la fois dans les services de la CNIL et au sein de l'entreprise, se heurte au fait que l'importante modification du système litigieux de traitement de données, survenue en 2007, n'a pas fait non plus l'objet d'une quelconque déclaration à la CNIL ; que sur l'absence de déclaration de la modification du système de vidéosurveillance à la CNIL en 2007, en vertu de l'article 30 de la loi du 6 janvier 1978, ci-dessus rappelé, tel qu'applicable en 2007, le responsable du système de traitement de données, soumis à l'obligation de déclaration à la CNIL, doit aviser cet organisme de tout changement dans les informations devant figurer dans ladite déclaration ; qu'en l'espèce, il résulte tant des explications des parties, que des documents produits aux débats documents techniques, procès-verbaux de réunion des représentants du personnel ou du comité d'entreprise, plans du site, que le système de vidéosurveillance litigieux a fait l'objet d'une profonde modification en 2007, avec, notamment, la multiplication du nombre de caméras, dont certaines mobiles, le recours à une entreprise tierce pour effectuer la surveillance, et l'utilisation nouvelle du réseau informatique, au moins pour la transmission des images enregistrées ; que ces importants changements des caractéristiques et de la nature du système de traitement des données, avec son informatisation, aurait dû donner lieu à déclaration à la CNIL ; qu'or, la société Aérazur ne justifie pas, ni n'allègue y avoir procédé ; qu'est donc établie la commission de l'infraction d'omission de respecter les formalités préalables en l'espèce déclaration à la CNIL, à la mise en oeuvre d'un système de traitement de données à caractère personnel ; que seuls les organes dirigeants de la société Aérazur, ou leurs délégataires, avaient le pouvoir de procéder à ces formalités auprès de la CNIL ; que cette infraction a bien été commise pour le compte de cette société, par l'un de ses organes ; qu'il est donc établi que la société Aérazur n'a pas respecté l'obligation de déclaration à la CNIL d'un système d'enregistrement de données nominatives, déclaration devant notamment comporter les caractéristiques et la finalité du système ; que le jugement déféré sera donc partiellement infirmé, en ce sens que la société défenderesse doit être déclarée coupable de cette infraction ; que sur l'infraction de non respect de la finalité du système de traitement des données nominatives ¿ ; qu'en l'espèce, le système litigieux de traitement de données n'a fait l'objet d'aucune déclaration à la CNIL avant le 22 septembre 2011, et cette infraction d'omission de déclaration donné déjà lieu à déclaration de culpabilité de la société Aérazur, selon les motifs déjà développés ; que l'infraction alternative de non-respect de la finalité déclarée ne peut donc pas être retenue pour cette période antérieure au 22 septembre 2011 ; que la partie civile ne fait pas état d'un détournement de la finalité du système qui aurait eu lieu postérieurement à cette déclaration à la CNIL enfin effectuée le 22 septembre 2011 ; que le seul épisode qui est évoqué est l'utilisation, dans le cadre d'une procédure pénale pour diffamation au cours de l'année 2010, des images de salariés distribuant des tracts ; qu'ainsi, les faits dénoncés par la partie civile ne peuvent pas être réprimés par l'article 226-21 du code pénal, relatif au non-respect de la finalité déclarée ou autorisée pour le système de traitement de données à caractère personnel ; que, sur l'infraction de conservation en mémoire informatique, de données nominatives sensibles, relatives à l'appartenance syndicale, sans le consentement de la personne concernée ¿ le seul fait de filmer les salariés à l'entrée du site, ou sur les autres zones d'implantation des caméras, ne constitue pas un enregistrement faisant apparaître une donnée sensible les concernant ; qu'en ce qui concerne l'épisode de la distribution des tracts, dont l'enregistrement a donné lieu à l'utilisation, dans le cadre d'une procédure en diffamation, rien ne permet de considérer que les images alors enregistrées permettaient, au-delà de l'identification des salariés concernés par leur employeur, de déterminer leur appartenance syndicale ; qu'en effet, le procès-verbal de constat établi par l'huissier ayant visionné l'enregistrement litigieux ne fait état d'aucun élément, sur ces images, spécifique à une activité syndicale ; que le simple fait de distribuer un document à l'entrée du site n'est pas nécessairement lié à l'exercice d'une activité syndicale ; que seule la connaissance personnelle qu'avait le directeur du site, du contenu du tract et du militantisme syndical des salariés concernés a conduit l'huissier mandaté par M. Olivier X... à faire mention de ces informations que celui-ci lui avait fournies ; que dès lors, la société Aérazur ne s'est pas rendue coupable de l'infraction de conservation en mémoire informatique de données sensibles sans l'accord exprès des personnes concernées et sera relaxée de ce chef ; que sur l'infraction de traitement de données à caractère personnel sans le consentement de la personne concernée ¿ ; qu'en l'espèce, les personnes concernées par l'enregistrement litigieux sont les salariés de la société Aérazur ou les employés de ses partenaires économiques ; que l'installation de ces caméras de surveillance est une obligation réglementaire résultant du classement du site en confidentiel défense, classement dont avaient connaissance les salariés ; que plusieurs procès-verbaux de réunions du comité d'entreprise et de réunions des représentants du personnel font mention d'une information donnée aux salariés sur l'existence, le nombre et l'emplacement des caméras de surveillance installées sur le site, tant en 1996 qu'en 2007 ; que, par ailleurs, cette information était complétée par les panneaux implantés dans les zones concernées par ces enregistrements ; que dès lors, on doit considérer que l'implantation de caméras de surveillance sur le site de l'entreprise, et l'enregistrement des images, entrait dans le cadre de dispenses d'exigence d'un consentement, prévues par les 4° et 5° de l'article 7, de la loi du 6 janvier 1978 ; que la société Aérazur ne s'est donc pas rendue coupable de l'infraction de traitement de données à caractère personnel sans le consentement de la personne concernée et doit être relaxée de ce chef ; ¿ que, sur les demandes de la partie civile, seule l'infraction d'omission de déclaration à la CNIL d'un système de traitement de données personnelles est retenue à l'encontre de la société Aérazur ; que l'omission de cette formalité, par la société Aérazur, pour un système mis en oeuvre sur le site de la société et concernant l'ensemble de ses salariés, a fait échec au contrôle de la CNIL chargée de veiller au respect des libertés publiques, et a ainsi facilité ensuite l'utilisation de données nominatives, par un dirigeant de la société Aérazur, au préjudice de salariés qui exerçaient une activité syndicale à des fins totalement étrangères à celles revendiquées à l'audience par la société défenderesse ; que cette infraction a donc bien causé un préjudice à l'Union départementale syndicale chargée de défendre les intérêts collectifs des salariés ; qu'au regard de la nature des faits et du nombre de salariés concernés, ce préjudice subi par l'Union départementale du syndicat CGT de Seine-Maritime, sera estimé à une somme de dix mille euros (10 000 euros) ; que, par ailleurs, en raison de la nature des faits, la réparation du préjudice implique l'affichage, pendant deux mois d'activité de l'entreprise, à chacun des accès du site d'exploitation de la société Aérazur à Caudebec-les-Elbeuf, du dispositif du présent arrêt ;
"1°) alors que méconnaît le droit à la présomption d'innocence la cour d'appel qui, pour condamner la prévenue au paiement de dommages-intérêts, lui impute la commission d'une infraction pour laquelle elle a bénéficié d'une relaxe en première instance devenue définitive ; qu'en condamnant la société Aérazur à payer à l'Union départementale du syndicat CGT la somme de 10 000 euros au titre de son préjudice moral après lui avoir imputé la commission du délit d'omission de déclaration à la CNIL d'un système de vidéosurveillance et l'en avoir déclarée coupable, la cour d'appel a violé les textes susvisés ;
"2°) alors que le dommage dont la partie civile, seule appelante d'un jugement de relaxe, peut obtenir réparation de la part de la personne relaxée résulte de la faute civile démontrée à partir et dans la limite des faits objet de la poursuite ; que saisis de faits d'omission de déclaration d'un système de vidéosurveillance à la CNIL imputés à une personne morale, les juges étaient tenus, avant d'entrer en voie de condamnation, de vérifier qu'ils avaient bien été commis pour son compte par l'un de ses organes ou représentants ; qu'en se bornant à présumer leur commission par les « organes dirigeants de la société Aérazur ou leur délégataires », sans rechercher par quel organe ou représentant les faits reprochés à la société Aérazur avaient été commis pour son compte, la cour d'appel n'a pas légalement justifié sa décision et méconnu les textes visés au moyen ;
"3°) alors qu'il résulte de l'article 2, du code de procédure pénale que le droit d'exercer l'action civile devant la juridiction pénale n'appartient qu'à ceux qui ont subi un préjudice directement causé par l'infraction ; que pour allouer des dommages-intérêts à l'Union départementale du syndicat CGT de Seine-Maritime en réparation du préjudice causé par l'omission de déclaration à la CNIL d'un système de traitement de données personnelles, la cour d'appel énonce que cette omission a fait échec au contrôle de la CNIL, chargée de veiller au respect des libertés publiques et a ainsi facilité ensuite l'utilisation de données nominatives par un dirigeant de la société Aérazur au préjudice de salariés qui exerçaient une activité syndicale, à des fins étrangères à celles revendiquées à l'audience par la société Aérazur ; qu'en statuant ainsi quand l'utilisation des données nominatives au préjudice de salariés de l'entreprise n'était qu'une conséquence indirecte de l'omission de déclaration à la CNIL, la cour d'appel a méconnu le sens et la portée du texte susvisé ;
"4°) alors qu'il résulte des propres constatations de l'arrêt attaqué que l'installation de ces caméras de surveillance était une obligation réglementaire résultant du classement du site en confidentiel défense, classement dont avaient connaissance les salariés, l'implantation de caméras de surveillance sur le site de l'entreprise, et l'enregistrement des images, entrant dans le cadre des dispenses d'exigence d'un consentement des personnes concernées par les 4° et 5° de l'article 7 de la loi du 6 janvier 1978; qu'en l'état de ces constatations de nature à établir le caractère obligatoire de l'installation d'un système de vidéosurveillance ayant pour conséquence l'enregistrement des salariés dans l'exercice de leur activité, l'omission de déclaration à la CNIL du système de vidéosurveillance était insusceptible de causer un préjudice aux intérêts collectifs des salariés ; qu'en allouant néanmoins à l'Union départementale du Syndicat CGT de Seine-Maritime la somme de 10 000 euros en réparation de son préjudice moral, la cour d'appel n'a pas tiré les conséquences légales de ses propres constatations ;
"5°) alors que les juges sont tenus de répondre aux chefs péremptoires des conclusions dont ils sont régulièrement saisis ; que dans ses conclusions d'appel régulièrement déposées, la société Aérazur avait démontré l'absence de tout préjudice effectivement subi par les salariés de l'entreprise à l'égard desquels les enregistrements de vidéosurveillance avaient été utilisés dans le cadre d'une procédure pénale en diffamation, dans la mesure où, d'une part, ces salariés n'avaient jamais recherché à contester la matérialité des faits reprochés, et où, d'autre part, les enregistrements litigieux n'avaient été qu'un mode de preuve secondaire puisque les faits avaient été d'abord attestés par quatre salariés de la société ; qu'elle avait alors souligné que l'absence de préjudice subi par les salariés dont la partie civile revendiquait la protection privait son action de tout fondement ; qu'en s'abstenant de répondre, ne fût-ce que pour l'écarter, à cet argument déterminant de nature à exclure l'existence du moindre préjudice subi par l'Union départementale du syndicat CGT de Seine-Maritime, la cour d'appel a privé sa décision de toute base légale au regard des textes visés au moyen" ;
Attendu que, pour dire la société Aérazur responsable du préjudice subi par la partie civile, et la condamner au paiement de dommages-intérêts, l'arrêt prononce par les motifs repris au moyen ;
Attendu qu'en statuant ainsi, la cour d'appel a justifié sa décision, sans insuffisance ni contradiction, et sans méconnaître la présomption d'innocence, dès lors que, d'une part, il résulte du jugement confirmé et des propres écritures de la société Aérazur devant le tribunal que la responsabilité d'effectuer la déclaration d'un système de vidéosurveillance incombait au directeur d'établissement, de sorte que l'omission de cette formalité avait été commise pour le compte de la personne morale, d'autre part, l'existence d'un préjudice même indirect à l'intérêt collectif donne ouverture à l'action civile d'un syndicat, et à son droit d'obtenir réparation du dommage causé ;
D'où il suit que le moyen doit être écarté ;
Et attendu que l'arrêt est régulier en la forme ;
REJETTE le pourvoi ;
Ainsi fait et jugé par la Cour de cassation, chambre criminelle, et prononcé par le président le neuf février deux mille seize ;
En foi de quoi le présent arrêt a été signé par le président, le rapporteur et le greffier de chambre.
