La société Renault Trucks, avait saisi la Commission nationale de l’informatique et des libertés (Cnil) d’un dossier de demande d’autorisation de mise en uvre d’un logiciel destiné à protéger les salariés et le matériel de l’entreprise contre la pédopornographie.
Par une délibération du 5 décembre 2013, la Cnil avait refusé cette demande d’autorisation, au motif que l’article 9 de la loi du 6 janvier 1978 modifiée dispose que les traitements de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté ne peuvent être mis en uvre que par les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales, les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi, ou les personnes morales mentionnées par le code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus par ce même code aux fins d’assurer la défense de ces droits.
En l’espèce, s’il apparaît légitime que la société informe les autorités compétentes sur des faits qu’elle considèrerait comme répréhensibles, elle ne saurait enregistrer et traiter des données d’infractions que si elle peut invoquer l’une des exceptions visées à l’article 9 précité, ce qui n’est pas le cas. La société Renault Truck ne justifie donc pas être habilitée à traiter de données d’infractions.
Saisi d’une demande d’annulation de cette délibération pour excès de pouvoir, le Conseil d’Etat, dans un arrêt du 11 mai 2015, juge que doivent être regardées comme entrant dans le champ d’application de l’article 9, non seulement les données relatives aux infractions, condamnations ou mesures de sûreté elles-mêmes, mais également les données qui, en raison des finalités du traitement automatisé, ne sont collectées que dans le but d’établir l’existence ou de prévenir la commission d’infractions, y compris par des tiers.
En revanche, ces dispositions ne font pas obstacle à la mise en oeuvre de traitements de données à caractère personnel relatives à des infractions par les personnes qui en ont été victimes ou sont susceptibles de l’être.