- Le Tribunal cantonal vaudois a estimé que les screenshots de cartes de crédit remis ne constituaient pas des données personnelles sensibles ou des profils de la personnalité.
- L’art. 35 LPD exige une “communication” ; il suffit de rendre des données accessibles à des tiers, même sans qu’ils en aient connaissance.
- Une punissabilité selon l’art. 35 LPD n’existe qu’en cas de communication non autorisée, non conforme au droit de la protection des données ; les motifs justificatifs déploient un effet de suspension de la peine.
Le Tribunal cantonal vaudois s’était prononcé dans un jugement rendu le 10 septembre 2021 déjà (Swisslex) a dû se pencher sur la question de savoir si la communication de données d’achat violait le secret des données selon l’art. 35 LPD. Dans le cadre d’une procédure civile relevant du droit de la famille, une collaboratrice d’un détaillant avait, sur demande a publié des captures d’écran montrant des achats effectués par carte de crédit (ces captures d’écran servaient apparemment de preuve d’achat au cas où un client aurait perdu son reçu). Il ressort des faits que la demande adressée au détaillant n’émanait toutefois pas du client concerné, mais de sa partie adverse, probablement la mère des enfants communs. Le client avait alors Plainte pénale pour violation de l’article 35 LPD a été déposée.
Le ministère public avait parlé d’un champ d’application restreint de l’article 35 LPD est parti de là. Cette disposition présuppose que l’auteur a appris les données personnelles sensibles ou les profils de la personnalité communiqués sans autorisation “dans l’exercice de sa profession, qui requiert la connaissance de telles données”. A la suite d’une conception de Meier Le ministère public a déclaré que des exemples de telles professions étaient les professions de la santé et de l’éducation. Art. 321 du Code pénalMais en tout cas pas un emploi au service clientèle d’un détaillant.
Le TBC n’aborde pas ce point (et d’autres tribunaux ont interprété l’art. 35 LPD de manière plus large), mais les données communiquées ici ne sont pas particulièrement sensibles et ne constituent pas un profil de la personnalité. En outre, l’adresse de la personne concernée n’est pas une donnée secrète.
Il constate en outre que l’article 35 LPD ne parle pas de “révélation”, contrairement à l’article 321 CP, mais de “communication”. Il suffit donc que les données personnelles saisies soient être divulguésmême s’il n’y a pas de prise de connaissance (cf. ici pour la révélation de secrets professionnels en tant que délit de résultat) :
Le texte allemand parle quant à lui de ” Bekanntgabe ” (et non de ” Offenbarung “, comme à l’art. 321 CP), ce qui fait le lien avec la notion technique de ” communication “, définie à l’art. 3 let. f LPD. Il y a donc révélation au regard de l’art. 35 LPD dans le fait de rendre les données accessibles à un tiers qui n’en avait pas connaissance auparavant.
Le tribunal précise en outre que la communication au sens de l’article 35 LPD n’est constitutive d’une infraction que si elle est effectuée “sans autorisation” et donc si elle est justifiée au regard de la protection des données. est
Le texte allemand parle quant à lui de ” Bekanntgabe ” (et non de ” Offenbarung “, comme à l’art. 321 CP), ce qui fait le lien avec la notion technique de ” communication “, définie à l’art. 3 let. f LPD. Il y a donc révélation au regard de l’art. 35 LPD dans le fait de rendre les données accessibles à un tiers qui n’en avait pas connaissance auparavant. La révélation doit être illicite. Elle ne l’est pas lorsqu’il existe un motif justificatif (cf. art. 13 al. 1 LPD : consentement, intérêts prépondérants, loi) : une communication licite sous l’angle de la LPD ne saurait être sanctionnée pénalement.
L’avenir nous dira si ces considérations sont également valables selon l’art. 62 nLPD, mais il serait au moins correct de continuer à ne prendre en compte que les communications “non autorisées”, c’est-à-dire celles qui sont interdites par la législation sur la protection des données. Si une communication est autorisée par le droit de la protection des données, même si elle concerne des données personnelles secrètes, il manque en tout cas un rapport d’obligation dont la violation est punissable, et l’art. 14 CP stipule également qu’un acte licite n’est pas punissable. La punissabilité disparaît donc non seulement en cas de justification par le droit pénal, mais aussi et surtout en cas de justification par le droit de la protection des données.