Belgian court dismisses civil appeal against bank regarding data protection and banking contract interpretation.

N° P.16.1110.F

D. J-M.

partie civile,

demandeur en cassation,

ayant pour conseils Maîtres Philippe Culot et Jean-François Henrotte, avocats au barreau de Liège,

contre

BELFIUS BANQUE, société anonyme, dont le siège est établi à Bruxelles, boulevard Pachéco, 44,

prévenue,

défenderesse en cassation,

ayant pour conseils Maîtres François Glansdorff, Cédric Alter et François Koning, avocats au barreau de Bruxelles.

I. LA PROCÉDURE DEVANT LA COUR

Le pourvoi est dirigé contre un arrêt rendu le 13 octobre 2016 par la cour d'appel de Liège, chambre correctionnelle.

Le demandeur invoque trois moyens dans un mémoire annexé au présent arrêt, en copie certifiée conforme.

Le conseiller Françoise Roggen a fait rapport.

L'avocat général Damien Vandermeersch a conclu.

II. LA DÉCISION DE LA COUR

Sur le premier moyen :

Le moyen est pris de la violation des articles 149 de la Constitution, 780, 3°, et 1138, 3°, du Code judiciaire.

Le demandeur fait grief aux juges d'appel, en se référant à l'exposé des faits mentionné par le premier juge, de ne pas avoir eu égard à l'ensemble de ceux-ci, détaillés dans ses conclusions d'appel. Il leur reproche en substance de ne pas avoir tenu compte des trois faits suivants qui, bien que postérieurs à la citation directe, auraient dû les convaincre de la déloyauté de la défenderesse :

- le maintien du signalement erroné du demandeur auprès de la Banque nationale de Belgique (BNB) ;

- son incorporation dans le système informatique interne de la banque ;

- le refus de corriger ses données.

En page 6 de l'arrêt, les juges d'appel ont exposé que l'infraction à l'article 39, 1°, de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel, reprochée à la défenderesse, consistait à lui imputer un traitement inexact et déloyal des données à caractère personnel du demandeur en communiquant à la BNB un découvert bancaire qui a donné lieu à un enregistrement au « fichier des enregistrements non régis ».

En page 7, l'arrêt énonce qu'il n'appartient pas à une juridiction répressive de porter un jugement sur la gestion quotidienne de la banque et sur l'exécution de la convention « des enregistrements non régis » liant la défenderesse à la BNB. Selon la cour d'appel, une telle appréciation, dans le cas d'espèce, sort manifestement du cadre de l'infraction qui sert de base aux poursuites et qui seule fonde sa compétence.

Ainsi, les juges d'appel ont répondu aux conclusions du demandeur et ont régulièrement motivé leur décision, sans être tenus de rencontrer chacun des arguments invoqués qui ne constituaient pas des moyens distincts.

Le moyen ne peut être accueilli.

Sur le deuxième moyen :

Le moyen est pris de la violation des articles 2 du Code civil, 1er, §§ 1 à 3, 3, § 1er, 10, § 1er, et 39, 5°, de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel.

Quant à la première branche :

Le demandeur reproche aux juges d'appel de ne pas avoir tenu compte, pour définir la notion légale de fichier, de la modification de la loi du 8 décembre 1992 par celle du 11 décembre 1998 qui a transposé la directive 95/46/CE du 24 octobre 1995 du Parlement européen et du Conseil relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données.

L'article 1er de la loi du 8 décembre 1992, dans sa version originaire disposait que par fichier, on entendait « tout ensemble de données à caractère personnel, constitué et conservé suivant une structure logique devant permettre une consultation systématique ». Après sa modification par l'article 2 de la loi du 11 décembre 1998, le fichier est défini comme « un ensemble structuré de données à caractère personnel, accessible selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique ».

En application de la loi du 11 décembre 1998, la structure des données à caractère personnel doit permettre leur accessibilité selon des critères déterminés. Ce ne sont donc pas les dossiers eux-mêmes qui doivent faire l'objet d'une organisation ou d'une structuration mais les données qu'ils contiennent.

Le niveau d'accessibilité à atteindre pour répondre à la qualification de fichier relève, en l'absence de prescription légale, de l'appréciation du juge du fond.

Pour refuser la qualification de fichier au contrat liant la banque à ses clients, la cour d'appel ne s'est pas référée au critère de la possibilité de consultation systématique des données.

Elle a, ce qui est différent, considéré que, quand bien même les contrats liant la banque à ses clients font l'objet de dossiers logiquement structurés en son sein pour des raisons administratives, cette caractéristique ne confère pas à ces contrats la qualité d'un fichier au sens de l'article 1er de la loi du 8 décembre 1992.

Ainsi, les juges d'appel n'ont pas violé cette disposition telle qu'elle a été modifiée par la loi du 11 décembre 1998.

Le moyen ne peut être accueilli.

Quant à la seconde branche :

Il est reproché à l'arrêt, d'une part, de confondre les notions de fichier, de données à caractère personnel et de traitement, définies à l'article 1er de la loi du 8 décembre 1992 et, d'autre part, de méconnaître l'article 3 de celle-ci qui détermine son champ d'application.

Aux termes de l'article 1er de la loi précitée, dans sa version actuelle, on entend par :

- "données à caractère personnel" : toute information concernant une personne physique identifiée ou identifiable ;

- "traitement" : toute opération ou ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction de données à caractère personnel ;

- "fichier" : tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique.

L'article 3 de la loi dispose qu'elle s'applique à tout traitement de données à caractère personnel automatisé en tout ou en partie, ainsi qu'à tout traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.

En l'absence de fichier tel que défini à l'article 1er de la loi du 8 décembre 1992, celle-ci ne trouve pas à s'appliquer.

L'arrêt énonce que

- la finalité essentielle du droit d'accès permet à la personne concernée d'avoir un droit de regard sur l'utilisation qui est faite de ses données à caractère personnel traitées sous la forme d'un fichier en vérifiant qui a accédé à ces informations et dans quel but ;

- quand bien même les contrats liant la banque à ses clients font l'objet de dossiers logiquement structurés en son sein pour des raisons administratives, cette caractéristique ne confère pas à ces contrats la qualité d'un fichier qui fera l'objet d'un traitement sur la base de données à caractère personnel telles qu'elles sont définies par l'article 1er de la loi du 8 décembre 1992.

La cour d'appel a ainsi considéré que ce sont les données à caractère personnel qui doivent faire l'objet d'un traitement au sein d'un fichier et qu'un contrat liant la banque à son client ne constitue pas un fichier au sens de la loi relative à la protection de la vie privée.

Par ces considérations, les juges d'appel n'ont pas confondu les notions visées au moyen ni méconnu le champ d'application de la loi du 8 décembre 1992, tel qu'il est précisé à l'article 3.

Le moyen ne peut être accueilli.

Sur le troisième moyen :

Le moyen est pris de la violation de l'article 10, § 1er, de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel.

Cette disposition impose au responsable du traitement des données à caractère personnel réalisé sous la forme d'un fichier plusieurs obligations dont la confirmation que des données relatives à la personne concernée sont ou ne sont pas traitées et la communication, sous une forme intelligible, des données faisant l'objet des traitements.

Il est reproché aux juges d'appel de ne pas avoir déclaré établi le fait pour la défenderesse de ne pas avoir communiqué au demandeur, dans les 45 jours de la demande, le relevé des dix dernières opérations d'une carte de crédit qui lui était attribuée.

Aux termes d'une appréciation en fait, les juges d'appel ont énoncé que le demandeur était malvenu de soutenir qu'il n'avait eu que des informations incomplètes sur l'utilisation de cette carte de crédit puisque la défenderesse l'avait informé en temps utile, d'une part, qu'il n'en avait en réalité jamais été détenteur, et, d'autre part, que cette carte n'avait pas fait l'objet d'une utilisation frauduleuse.

En considérant que cette dernière précision permettait au demandeur de déduire qu'aucune opération réalisée au moyen de cette carte de crédit n'avait été enregistrée sur son compte, les juges d'appel n'ont pas restreint la portée de la disposition légale visée au moyen.

Le moyen ne peut être accueilli.

PAR CES MOTIFS,

LA COUR

Rejette le pourvoi ;

Condamne le demandeur aux frais.

Lesdits frais taxés en totalité à la somme de trois cent vingt-neuf euros soixante-cinq centimes dont quatre-vingts euros nonante et un centimes dus et deux cent quarante-huit euros septante-quatre centimes payés par ce demandeur.

Ainsi jugé par la Cour de cassation, deuxième chambre, à Bruxelles, où siégeaient Benoît Dejemeppe, conseiller faisant fonction de président, Françoise Roggen, Eric de Formanoir, Tamara Konsek, conseillers, et Pierre Cornelis, conseiller émérite, magistrat suppléant, et prononcé en audience publique du vingt-deux février deux mille dix-sept par Benoît Dejemeppe, conseiller faisant fonction de président, en présence de Damien Vandermeersch, avocat général, avec l'assistance de Tatiana Fenaux, greffier.

T. Fenaux P. Cornelis T. Konsek

E. de Formanoir F. Roggen B. Dejemeppe

Document PDF ECLI:BE:CASS:2017:ARR.20170222.1