Collecte déloyale en ligne : portée de l’arrêt de 2024

Des données accessibles en ligne ne deviennent pas librement exploitables pour enquêter sur une personne. L’arrêt de la chambre criminelle du 30 avril 2024, pourvoi n° 23-80.962, l’illustre. Sa portée procédurale doit cependant être présentée exactement : la Cour prononce une cassation partielle, et non un rejet confirmant l’ensemble de la condamnation.

Ce que l’arrêt décide réellement

La procédure concernait des enquêtes sur des salariés, candidats, clients ou prestataires. L’arrêt attaqué avait notamment prononcé un an d’emprisonnement avec sursis et vingt mille euros d’amende. Ces montants ne doivent pas être présentés comme une peine définitivement confirmée par la Cour de cassation.

Aux paragraphes 7 à 11, celle-ci valide le raisonnement relatif à la déloyauté : les informations publiques avaient été collectées et recoupées à l’insu des personnes pour une utilisation étrangère à leur publication initiale. Aux paragraphes 12 à 20, elle retient toutefois une erreur procédurale : les juges avaient examiné des faits antérieurs à la période de prévention sans l’accord exprès du prévenu. Le dispositif prononce une cassation partielle avec renvoi. Voir l’arrêt intégral du 30 avril 2024.

Il faut distinguer l’apport sur la déloyauté et l’issue du pourvoi. La décision de cassation ne permet pas, à elle seule, d’annoncer le résultat du jugement de renvoi.

L’accès public n’efface pas les règles de collecte

L’Art. 226-18 du Code pénal réprime la collecte par un moyen frauduleux, déloyal ou illicite. Le fait de trouver une information sans mot de passe ne répond donc pas à toutes les questions juridiques sur son acquisition et son utilisation.

L’affaire portait sur des faits antérieurs à l’application du RGPD. Pour un projet actuel, il faut aussi appliquer les exigences de licéité, de loyauté, de transparence et de minimisation du règlement. Notre guide sur la réutilisation des données publiques détaille cette analyse.

L’arrêt ne crée pas une obligation générale de consentement pour toute recherche en ligne. Le fondement du traitement dépend de son objectif et des conditions applicables. Informer une personne et obtenir son consentement sont deux obligations différentes ; une information ne rend pas licite un traitement sans fondement valable, et un intérêt légitime invoqué ne dispense pas d’examiner la loyauté.

Appliquer l’arrêt à une décision d’achat de données

Le premier contrôle porte sur le besoin de l’entreprise. « Sécuriser nos relations » est trop vague pour délimiter une recherche sur une personne. S’agit-il de vérifier une qualification professionnelle annoncée, une référence de travail ou de constituer un dossier sur sa vie privée ? Ces opérations n’ont ni la même nécessité ni les mêmes conséquences.

Les recommandations de la CNIL pour les réutilisateurs, notamment leur fiche sur la base légale, invitent à examiner les attentes raisonnables, le contexte de publication, les catégories de données et les garanties. Une information publiée sur un site professionnel et une confidence accessible sur un forum personnel ne deviennent pas équivalentes parce qu’un moteur de recherche les retrouve toutes deux.

L’analyse de l’intérêt légitime comporte donc une décision, pas seulement une étiquette : quel intérêt concret est poursuivi, la collecte envisagée est-elle nécessaire, et les droits de la personne prévalent-ils ? Les Art. 5(1)(a) à 5(1)(c) et 6(1)(f) du RGPD imposent ces limites. Si une vérification directe et circonscrite répond au besoin, la commodité d’un rapport plus large ne démontre pas sa nécessité.

Cas fictif : vérifier une traductrice sans enquêter sur sa vie

L’exemple suivant est hypothétique et ne décrit ni un client ni une nouvelle affaire judiciaire. La société française Mécatex cherche une traductrice indépendante pour une documentation technique. Camille publie sur son site professionnel ses langues de travail, ses domaines de spécialité et des extraits de traductions. L’acheteuse souhaite vérifier que son expérience correspond au projet.

Un fournisseur propose un rapport de « fiabilité en sources ouvertes ». Avant commande, la juriste demande la liste des sources, des champs et des critères de notation, ainsi qu’un exemple entièrement fictif. Le document comporte des publications familiales, des informations de santé et un score de disponibilité supposée. Le fournisseur explique que rien n’est confidentiel puisque les pages sont accessibles sans compte.

La société refuse cette proposition. La disponibilité doit être demandée à Camille pour les dates du projet ; elle ne doit pas être déduite de sa santé ou de sa situation familiale. La vérification des compétences peut reposer sur les éléments professionnels pertinents et un échange avec elle. L’objectif commercial ne justifie pas le rapport proposé.

La juriste autorise un processus plus étroit, après avoir documenté son analyse : consultation limitée du site professionnel, vérification des références annoncées avec Camille et appréciation humaine des travaux pertinents. Pour la vérification indirecte des qualifications publiées, l’intérêt légitime retenu est la sélection d’un prestataire compétent. Les échanges ultérieurs relatifs au devis et à la conclusion du contrat sont examinés séparément ; une seule base n’est pas appliquée par réflexe à toutes les opérations.

Fiche de décision remplie

La fiche ne vaut pas autorisation pour d’autres recherches. Si le métier impose une vérification réglementaire particulière, il faut identifier son texte, les personnes habilitées et les données qu’il permet de traiter. Il ne suffit pas d’ajouter une ligne « obligation légale » au tableau.

L’échec qui maintient le refus du fournisseur

Le fournisseur revient avec un rapport dont les rubriques privées ont disparu. Cependant, son score reste calculé à partir de ces informations. La correction de présentation ne change donc pas le traitement sous-jacent. Mécatex refuse aussi cette seconde version et ne l’importe pas dans son fichier fournisseurs.

L’acheteuse poursuit la sélection par la procédure professionnelle limitée. Camille confirme ses disponibilités, explique la portée d’un exemple ancien et présente un travail correspondant au besoin. Le responsable technique consigne son appréciation sur ces éléments, sans reprendre le score écarté. Dans ce scénario, la sélection peut continuer parce qu’une solution moins intrusive répond au besoin ; aucun résultat pénal n’est déduit du comportement du fournisseur.

Pour clôturer la décision, la juriste conserve la demande de périmètre, la grille fictive reçue et le motif du refus. Elle vérifie qu’aucune commande d’enquête nominative n’est partie et qu’aucune copie de rapport réel n’a circulé. Si l’entreprise avait déjà reçu des données excessives sur une personne, il faudrait traiter cette situation réelle : arrêter leur utilisation, limiter les accès, déterminer l’effacement requis et les éventuelles pièces strictement nécessaires à la défense de droits. Le simple abandon de l’achat ne réglerait pas les copies déjà présentes.

Informer sans faire croire que la notice autorise tout

Dans le cas Mécatex, la société connaît le moyen de joindre Camille. Elle l’informe individuellement de la vérification professionnelle, de sa source et de ses conséquences. Elle ne se contente pas de publier une politique de confidentialité générale sur son propre site, que Camille n’aurait aucune raison de consulter spontanément.

Un premier message peut préciser : « Nous avons consulté la présentation de vos spécialités et vos exemples de traduction sur votre site professionnel pour évaluer leur adéquation à notre projet. Cette vérification limitée repose sur notre intérêt légitime à sélectionner un prestataire compétent. Vous pouvez nous signaler une erreur et nous contacter pour exercer vos droits. » Ce passage doit être accompagné des autres informations requises : identité et coordonnées, durée ou critères de conservation, destinataires, droits applicables et réclamation auprès de la CNIL. Il n’est pas une notice complète à copier isolément.

Le droit d’opposition lié à l’intérêt légitime s’exerce dans les conditions de l’Art. 21(1). Si Camille conteste une référence, l’entreprise vérifie l’exactitude et examine, le cas échéant, la limitation prévue par l’Art. 18(1)(a). Elle ne décide pas qu’une information est exacte au seul motif qu’elle figure encore dans les résultats d’un moteur de recherche.

Trois décisions pratiques avant de collecter

Limiter le périmètre. Un besoin de contact professionnel ne justifie pas de reconstituer la vie familiale ou la santé d’une personne. Les données relevant des Art. 9(1) et 10 exigent des conditions particulières. L’exception de l’Art. 9(2)(e) concerne des données manifestement rendues publiques par la personne elle-même ; elle ne dispense pas des autres exigences du RGPD, notamment de la nécessité. La seule accessibilité d’une page ne résout donc pas l’analyse.

Prévoir l’information dès le projet. Pour la collecte indirecte, l’Art. 14(3) prévoit un délai raisonnable plafonné à un mois, avec information plus tôt lors de la première communication à la personne ou de la première divulgation prévue. Les exceptions de l’Art. 14(5) doivent être vérifiées. Voir le texte du RGPD sur l’information et notre guide de mentions RGPD.

Vérifier le prestataire et les résultats. Demandez les sources, les critères de collecte et les règles d’exclusion. Contrôlez un échantillon avant import et évitez de verser immédiatement les données dans tous les outils de l’entreprise. La méthode du scraping conforme au RGPD fournit un cadre de décision ; elle ne garantit pas la licéité de chaque collecte.

Ce qu’il faut retenir

• L’accès public ne démontre ni la loyauté ni la nécessité d’une collecte.
• L’arrêt valide un raisonnement sur la déloyauté, tout en prononçant une cassation partielle pour une erreur procédurale.
• Vérifiez les sources et les critères dérivés, pas seulement les champs visibles du rapport acheté.
• Une collecte refusée peut laisser place à une vérification professionnelle limitée et transparente.

FAQ

La Cour a-t-elle confirmé la peine d’un an avec sursis ?

Non. L’arrêt casse les dispositions relatives à la culpabilité pour collecte et aux peines, avec renvoi. Il valide néanmoins le raisonnement sur la déloyauté examiné dans les premières branches du moyen.

Des données publiques peuvent-elles être réutilisées sans consentement ?

Cela dépend du traitement et des règles applicables. Le consentement n’est pas la seule base légale, mais l’accès public ne dispense ni d’un fondement valable ni des autres garanties.

Suffit-il d’informer après avoir collecté ?

Non. Il faut respecter le calendrier applicable et vérifier la licéité, la loyauté, la nécessité et les droits. Une notice ne régularise pas à elle seule une collecte disproportionnée ou déloyale.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.