La mise en œuvre d’une nouvelle version d’un logiciel n’oblige pas le responsable de traitement à procéder à une nouvelle déclaration auprès de la Cnil. C’est ce que rappelle la Cour de cassation par un arrêt rendu le 23 avril 2013 (1).
Un animateur socio-éducatif avait refusé de saisir les informations à caractère personnel concernant les mineurs bénéficiant d’actions de prévention aux motifs que la nouvelle version du logiciel de traitement des données à caractère personnel mise en œuvre au sein de l’entreprise n’avait fait l’objet d’aucune déclaration préalable à la Cnil.
Ce dernier a été licencié pour faute grave par son employeur au motif d’insubordination réitérée.
Débouté en première instance, le salarié obtint en appel la requalification en licenciement sans cause réelle ni sérieuse et la condamnation de l’employeur au versement de diverses sommes au titre de la rupture du contrat de travail.
En l’espèce, lors du passage à la version supérieure du logiciel mis en œuvre par l’employeur, des données nominatives devaient être saisies. Toutefois, ces dernières étaient limitées aux trois premières lettres du patronyme des personnes concernées ainsi qu’à leur adresse.
En estimant que l’employeur ne pouvait pas garantir la seule saisie des données anonymisées, la Cour d’appel d’Aix-en-Provence a estimé que ce dernier ne pouvait arguer du codage des données pour justifier l’absence de déclaration de la modification du traitement à la Cnil.
Or, par un arrêt rendu le 23 avril 2013, la Cour de cassation a cassé et annulé la décision de la Cour d’appel d’Aix-en-Provence pour défaut de base légale, en raison de l’absence de recherche de la nature de la modification du traitement. Elle rappelle que « seule une modification substantielle portant sur les informations ayant été préalablement déclarées doit être portée à la connaissance de la Cnil ; […] une simple mise à jour d’un logiciel de traitement de données à caractère personnel n’entraîne pas l’obligation pour le responsable du traitement de procéder à une nouvelle déclaration ».
Dès lors, la cour d’appel voit sa décision censurée pour ne pas avoir recherché si le changement de version du logiciel concerné consistait en une simple mise à jour qui ne nécessiterait pas une nouvelle déclaration auprès de la Commission nationale de l’informatique et des libertés.
Céline Avignon
Raouf Saada
Lexing Droit Marketing électronique