Court partially allowed data protection charges, acquitting defendant on one count but convicting on another.

Jugt no 2697/2014 not. 3608/14/CD

AUDIENCE PUBLIQUE DU 22 OCTOBRE 2014

Le tribunal d'arrondissement de et à Luxembourg, seizième chambre correctionnelle, a rendu le jugement qui suit :

Dans la cause du ministère public contre

X.), né le (...) à (...), demeurant à L-(...), (...),

- p r é v e n u - ______________________________

F A I T S :

Par citation du 5 août 2014, le procureur d'Etat près le tribunal d'arrondissement de Luxembourg a requis le prévenu de comparaître à l’audience du 1er octobre 2014 devant le tribunal correctionnel de ce siège pour y entendre statuer sur les préventions suivantes :

Infractions aux articles 4 et 5 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel.

A cette audience, la vice-présidente constata l'identité du prévenu X.) et lui donna connaissance de l’acte qui a saisi le tribunal.

Le témoin T1.) fut entendu en ses déclarations orales après avoir prêté le serment prévu à l’article 155 du code d’instruction criminelle.

Le prévenu X.) fut entendu en ses explications et moyens de défense, lesquels furent plus amplement développés par Maître Romain ADAM, avocat à la Cour, demeurant à Luxembourg.

Le représentant du ministère public, Max BRAUN, substitut du procureur d’Etat, résuma l'affaire au pénal et fut entendu en son réquisitoire.

Le tribunal prit l'affaire en délibéré et rendit à l'audience publique de ce jour, date à laquelle le prononcé avait été fixé,

L E J U G E M E N T Q U I S U I T :

Vu le rapport numéro JDA-SPJ11/2014/34401-5 du 17 mars 2014 établi par la police grand-ducale, service de police judiciaire, criminalité judiciaire.

Vu la citation à prévenu du 5 août 2014 (not. 3608/14/CD), régulièrement notifiée à X.).

Aux termes de la citation à prévenu, le ministère public reproche à X.), le 1er octobre 2013 entre 08.29 heures et 14.48 heures au MINISTèRE.) à L-(...), (...) :

« en infraction à l’article 4 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel, d’avoir effectué un traitement de données à caractère personnel qui ne remplissait pas les conditions de loyauté et de licéité à cet article qui exige que les données doivent être

(a) collectées pour des finalités déterminées, explicites et légitimes, et traitées ultérieurement de manière compatible avec ces finalités ;

(b) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement ;

(c) exactes et, si nécessaire, mises à jour, toute mesure raisonnable doit être prise pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées ;

(d) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées, et en infraction à l’article 5 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel, d’avoir effectué un traitement de données à caractère personnel qui ne remplissait pas les conditions de légitimité prévues à cet article alors,

(a) qu’il n’était pas nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis,

(b) qu’il n’était pas nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ou le ou les tiers auxquels les données sont communiquées,

(c) qu’il n’était pas nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci,

(d) qu’il n’était pas nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées,

(e) qu’il n’était pas nécessaire la sauvegarde de l’intérêt vital de la personne concernée,

(f) que la personne concernée n’a pas donné son consentement, en l’espèce, d’avoir, sans que ce traitement de données ne remplisse les conditions de légitimité, de loyauté et de licéité prévues aux articles 4 et 5 de la loi modifiée du

2 août 2002 relative à la protection des personnes à l’égard du traitement des données caractère personnel, fait vérifier au moyen de 184 recherches numériques dans le registre national des personnes physiques les données personnelles, et notamment les adresses privées, de 176 personnes physiques, aux fins de les contacter à des fins électorales. »

Quant aux faits :

Les faits, tels qu’ils résultent du dossier répressif, des déclarations du témoin, réitérées sous la foi du serment à l’audience, ainsi que des déclarations du prévenu auprès des agents de police et à l’audience du 1er octobre 2014, se résument comme suit :

Suite à des publications dans la presse et à une enquête interne au MINISTèRE.), le procureur d’Etat a été informé le 28 janvier 2014 par les Ministres d’Etat, de l’Economie et de la Fonction publique et de la Réforme administrative que X.), premier conseiller de gouvernement au MINISTèRE.), serait soupçonné d’avoir eu accès au répertoire nationale des personnes physiques et morales (ci-après, « le RPNI ») afin de rechercher les adresses de plus de 180 personnes afin d’adresser un courrier personnalisé à ces personnes dans le cadre de sa campagne pour les élections législatives de 2013.

Sur base d’une ordonnance prise en application de l’article 24-1 du Code d'instruction criminelle par un juge d’instruction, une perquisition fut effectuée le 7 février 2014 au Centre des Technologies et de l’Information de l’Etat (ci-après, « le CTIE ») afin de rechercher le listing des accès effectués avec le nom d’utilisateur du prévenu entre le 1er septembre et le 20 octobre 2013.

L’analyse des données saisies a permis d’établir que le nom d’utilisateur du prévenu a été utilisé le 1er octobre 2013 afin d’effectuer 184 recherches et le 17 octobre 2013 afin d’effectuer 3 recherches. Au mois de septembre 2013, aucune recherche n’a été effectuée avec ce nom d’utilisateur.

L’audition de deux employés du ministère a permis d’établir que le prévenu a demandé en septembre 2013 à une employée du ministère d’établir une liste de ses connaissances sur « Facebook » habitant dans la circonscription électorale « le Sud » et de rechercher leurs adresses. Le prévenu, candidat aux élections législatives dans cette circonscription, avait l’intention d’adresser par voie postale à ces électeurs un message personnel. Vu que l’employée n’a pas su déterminer par des recherches sur internet toutes les adresses, le prévenu a fourni à un autre employé du ministère son nom d’utilisateur ainsi que son mot de passe afin qu’il puisse faire des recherches au RPNI, l’employé ne disposant pas d’un accès personnel au RPNI. C’est ainsi qu’en date du 1er octobre 2013, cet employé a effectué 184 recherches de personnes au RPNI et a inséré les adresses ainsi trouvées dans un fichier qu’il a transmis au prévenu.

X.) était en aveu tant devant les agents de police qu’à l’audience du 1er octobre 2014 d’avoir fourni le 1er octobre 2013 son nom d’utilisateur et son mot de passe à un employé du ministère, respectivement de s’être connecté lui-même à partir du poste de travail de cet employé au RPNI, afin de permettre à cet employé de faire pour lui les recherches des adresses inconnues au RPNI. Il ne conteste pas non plus que

184 consultations de personnes ont été effectuées à cette date avec son nom d’utilisateur, et dans son intérêt privé, à savoir afin de pouvoir adresser à ces personnes dans le cadre de sa campagne électorale un message personnalisé.

En droit :

Le procureur d’Etat reproche au prévenu une violation des articles 4 et 5 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel (ci-après, « la loi de 2002 »).

Le mandataire du prévenu soulève en premier lieu la question si les données consultées étaient, au moment de la consultation, des données protégées. D’après lui, les listes électorales, contenant notamment les noms et adresses des électeurs, auraient été à la libre disposition de toute personne intéressée à l’époque précédant les élections législatives.

Par la loi de 2002, le législateur a entendu protéger les données à caractère personnel contenues dans des bases de données, respectivement des fichiers, et éviter un traitement, tel que défini par cette loi, abusif de ces données. Il n’est pas contestable que le RPNI est une telle base de données, et que partant, les données contenues dans cette base de données, ce fichier, sont des données « protégées ». Pour qu’une information contenue dans le RPNI soit une donnée protégée, il est indifférent de savoir si cette information aurait pu être obtenue autrement, par consultation par exemple d’un annuaire téléphonique, d’un site internet ou, comme en l’espèce, d’une liste électorale. Toutes les données à caractère personnel insérées dans un fichier de données à caractère personnel, tel que défini dans la loi de 2002, tombent, dès leur insertion dans ce fichier, sous la protection visée par la loi de 2002, et leur traitement n’est possible que dans le respect de cette loi – le traitement étant défini notamment comme « toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés, et appliquées à des données, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ».

L’argument du mandataire du prévenu est partant à rejeter.

Le procureur d’Etat reproche au prévenu d’avoir contrevenu aux conditions prévues aux articles 4 et 5 de la loi de 2002.

Force est de constater cependant que l’article 4 de la loi de 2002 est inapplicable en l’espèce. En effet, cet article détermine des règles qui s’imposent au « responsable du traitement », défini comme étant « personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel. Lorsque les finalités et les moyens du traitement sont déterminés par ou en vertu des dispositions légales, le responsable du traitement est déterminé par ou en vertu des critères spécifiques conformément aux dispositions légales ».

L’article 4 paragraphe (1) impose au responsable du traitement d’entreprendre le nécessaire pour que les données à caractère personnel soient traitées loyalement et licitement (projet de loi, document parlementaire n°4735, commentaire des articles, page 30). Cet article vise la qualité des données à traiter, et non pas le traitement proprement dit. Ainsi, d’après le point (a) de ce paragraphe, les données collectées dans le fichier doivent avoir des finalités déterminées, explicites et légitimes.

En l’espèce, non seulement le prévenu n’avait pas la qualité de responsable du traitement, mais de plus, les données litigieuses, i.e. les noms et adresses, contenues dans le fichier, i.e. le RPNI, avaient une finalité déterminée, explicite et légitime, i.e. l’identification des résidents au Luxembourg.

Le prévenu n’a partant pas violé les dispositions de l’article 4 de la loi de 2002 et il y a lieu de l’acquitter de l’infraction prévue à l’article 4(3) de la loi de 2002,

« comme auteur,

le 1er octobre 2013 entre 08.29 heures et 14.48 heures au MINISTèRE.) à L-(...), (...), en infraction à l’article 4 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel, d’avoir effectué un traitement de données à caractère personnel qui ne remplissait pas les conditions de loyauté et de licéité à cet article qui exige que les données doivent être

(a) collectées pour des finalités déterminées, explicites et légitimes, et traitées ultérieurement de manière compatible avec ces finalités ;

(b) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement ;

(c) exactes et, si nécessaire, mises à jour, toute mesure raisonnable doit être prise pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées ;

(d) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées. »

En revanche, la prévention, telle que formulée, in concreto, dans la citation à prévenu, vise un traitement illégitime des données contenues dans le RPNI.

Dans un souci de protéger les personnes dont les données à caractère personnel sont traitées, le législateur a entendu assurer non seulement que le strict minimum nécessaire de données soient insérées dans une base de données (cf. article 4 de la loi de 2002), mais en outre, que l’accès à cette base de données et l’utilisation des données y contenues soient limités.

L’article 5 (1) de la loi de 2002 détermine précisément les conditions dans lesquelles le « traitement » de données peut être effectué :

(a) s’il (…) est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis, ou

(b) s’il (…) est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le ou les tiers auxquels les données sont communiquées, ou

(c) s’il (…) est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci, ou

(d) s’il (…) est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1er, ou

(e) s’il (…) est nécessaire à la sauvegarde de l’intérêt vital de la personne concernée, ou

(f) si la personne concernée a donné son consentement.»

Il n’est pas contesté par le prévenu que lorsqu’il a fourni son nom d’utilisateur ainsi que son mot de passe à l’employé du ministère afin d’effectuer les recherches litigieuses, il ne se trouvait dans aucune des hypothèses limitativement énumérées à l’article 5, mais que la consultation du RPNI se faisait à des fins exclusivement privées du prévenu, dont il était parfaitement conscient.

Le mandataire du prévenu conteste qu’il y ait eu une intention frauduleuse de la part de son mandant lors des recherches sur le RPNI.

L’article 5(2) de la loi de 2002 n’exige aucun dol spécial de sorte que le dol général est suffisant, c’est-à-dire la connaissance des éléments matériels formant l’infraction.

En matière pénale, en cas de contestations émises par le prévenu, il incombe au ministère public de rapporter la matérialité de l’infraction lui reprochée, tant en fait qu’en droit.

Dans ce contexte, le tribunal relève que le code d’instruction criminelle adopte le système de la libre preuve par le juge qui forme son intime conviction librement sans être tenu par telle preuve que plutôt que par telle autre. Il interroge sa conscience et décide en fonction de son intime conviction. (Franchimont, Manuel de procédure pénale, p.764)

Le juge répressif apprécie souverainement, en fait, la valeur probante des éléments sur lesquels il fonde son intime conviction (Cass, belge, 31 décembre 1985, Pas.Bel,1986, I, 549).

Cependant si le juge pénal peut fonder sa décision sur l’intime conviction, il faut cependant que cette conviction résulte de moyens de preuve légalement admis et administrés en la forme. En d’autres termes, sa conviction doit être l’effet d’une

conclusion, d’un travail préliminaire de réflexion et de raisonnement, ne laissant plus de doute dans l’esprit d’une personne raisonnable.

Au vu du fait que le RPNI est une base de données protégées, non-publique, que seul un nombre limité de fonctionnaires y a un accès, avec des noms d’utilisateurs spécifiques et des mots de passe, le tribunal a l’intime conviction que le prévenu avait parfaitement connaissance du fait qu’on ne peut y accéder à des fins personnelles, sans aucun lien avec la fonction qu’on occupe.

Il en découle que les éléments constitutifs de l’infraction sont réunis et que X.) a partant violé l’article 5 (1) de la loi de 2002.

X.) est partant convaincu :

« comme auteur,

le 1er octobre 2013 entre 08.29 heures et 14.48 heures au MINISTèRE.) à L-(...), (...),

en infraction à l’article 5 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel, d’avoir effectué un traitement de données à caractère personnel qui ne remplissait pas les conditions de légitimité prévues à cet article alors,

(a) qu’il n’était pas nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis,

(b) qu’il n’était pas nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ou le ou les tiers auxquels les données sont communiquées,

(c) qu’il n’était pas nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci,

(d) qu’il n’était pas nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées,

(e) qu’il n’était pas nécessaire la sauvegarde de l’intérêt vital de la personne concernée,

(f) que la personne concernée n’a pas donné son consentement, en l’espèce, d’avoir, sans que ce traitement de données ne remplisse la condition de légitimité prévue à l’article 5 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données caractère personnel, fait vérifier au moyen de 184 recherches numériques dans le registre national des personnes physiques les données personnelles, et notamment les adresses privées, de 176 personnes physiques, aux fins de les contacter à des fins électorales.»

Quant à la peine

L’article 5(2) de la loi de 2002 prévoit une peine d’emprisonnement de 8 jours à un an et une amende de 251 à 125.000 euros, ou l’une de ces peines seulement.

Au vu de la gravité des faits reprochés au prévenu et en l’absence d’antécédents judiciaires du prévenu, le tribunal décide de condamner X.) à une amende de mille (1.000) euros.

P A R C E S M O T I F S

le tribunal d'arrondissement de et à Luxembourg, seizième chambre, siégeant en matière correctionnelle, statuant contradictoirement, X.) et son mandataire entendus en leurs explications et moyens de défense et le représentant du ministère public entendu en son réquisitoire,

a c q u i t t e X.) de l’infraction non retenue à sa charge ;

c o n d a m n e X.) du chef de l’infraction retenue à sa charge à une amende de mille (1.000) euros, ainsi qu'aux frais de sa mise en jugement, ces frais liquidés à 9,27 euros ;

f i x e la durée de la contrainte par corps en cas de non-paiement de l'amende à vingt (20) jours.

Par application des articles 14, 16, 27, 28, 29, 30 et 66 du code pénal, de l’article 5 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel et des articles 155, 179, 182, 184, 185, 189, 190, 190-1, 191 et 194 du code d'instruction criminelle, dont mention a été faite.

Ainsi fait et jugé par Danielle POLETTI, vice-présidente, Marie-Anne MEYERS, premier juge, et Gilles MATHAY, juge, et prononcé par la vice-présidente en audience publique au tribunal d’arrondissement à Luxembourg, en présence de Manon WIES, substitut du procureur d’Etat, et de Daniel ZANON, greffier, qui, à l'exception du représentant du ministère public, ont signé le présent jugement.