Le col­lè­gue avo­cat Mar­tin Stei­ger a par­lé sur son blog d’un aut­res Ordon­nan­ce péna­le pour vio­la­ti­on du droit à l’in­for­ma­ti­on rap­por­te. L’or­don­nan­ce péna­le fait suite à une deman­de de rens­eig­ne­ments et à une plain­te péna­le de Me Stei­ger lui-même. Il est chez RA Stei­ger et ici en PDF à trouver.

Les faits sont les suivants :

• L’or­don­nan­ce péna­le éma­ne du Statt­hal­ter­amt du district de Zurich et a été ren­due le 4 mars 2025. Elle n’a appa­rem­ment pas force de loi.
• Me Stei­ger avait deman­dé à TX Group SA de lui indi­quer si des don­nées le con­cer­nant étai­ent traitées.
• TX avait répon­du par l’in­ter­mé­di­ai­re d’un “juri­ste d’entre­pri­se chez TX Group AG”, qui est “spé­cia­li­sé ent­re aut­res dans la pro­tec­tion des don­nées”. Tame­dia aurait loca­li­sé deux jeux de don­nées et 20 Minu­ten n’au­rait trou­vé aucun jeu de don­nées dans le système avec les infor­ma­ti­ons com­mu­ni­quées par RA Stei­ger. Dans la suite de l’é­ch­an­ge, Me Stei­ger a esti­mé que les rens­eig­ne­ments four­nis étai­ent “mani­fe­stem­ent incom­plets”. Par la suite, le juri­ste de l’entre­pri­se a deman­dé de pré­cis­er où RA Stei­ger avait indi­qué ces don­nées et a men­ti­onné qu’il exi­stait éga­le­ment des artic­les de pres­se citant RA Stei­ger. RA Stei­ger a répon­du, ent­re aut­res, qu’il avait été en cont­act avec 20 minu­tes pen­dant des années. Par la suite, TX a invo­qué le pri­vilè­ge des médi­as selon l’ar­tic­le 27 de la LPD.
• Appa­rem­ment, Me Stei­ger a ensuite dépo­sé une plain­te péna­le (seul le bles­sé est habi­li­té à dépo­ser une plainte).
• La pré­fec­tu­re a con­dam­né le juri­ste d’entre­pri­se à payer une amen­de de 600 CHF et des frais de pro­cé­du­re de 430 CHF.
• Il a moti­vé l’or­don­nan­ce péna­le com­me suit :
  

  Par cour­ri­el du 1er décembre 2023, l’ac­cusé a répon­du que pour tou­tes les opé­ra­ti­ons de trai­te­ment qui con­cer­naient le domaine de la publi­ci­té, la réd­ac­tion de 20 minu­tes s’ap­pu­yait sur son droit de refus selon l’art. 27, al. 1 ou al. 2 LPD. Les con­te­nus de com­mu­ni­ca­ti­on et les notes deman­dés par le dénon­cia­teur en ferai­ent éga­le­ment par­tie, pour autant qu’ils ne soi­ent pas déjà cou­verts par l’art. 2, al. 2, let. a LPD. L’ac­cusé a ain­si admis que “20 Minu­ten” dis­po­sait de don­nées con­cer­nant l’au­teur de la dénonciation.

  Étant don­né que l’ac­cusé, en tant que per­son­ne responsable de TX Group SA, a don­né l’im­pres­si­on, par ses infor­ma­ti­ons selon les­quel­les aucu­ne don­née ne se trou­vait dans “20 minu­tes”, que cel­les-ci étai­ent com­plè­tes, bien que d’aut­res don­nées con­cer­nant le dénon­cia­teur soi­ent dis­po­ni­bles, l’ac­cusé a don­né, en con­nais­sance de cau­se et volon­tai­re­ment, une infor­ma­ti­on inexac­te ou incom­plè­te, se rendant ain­si cou­pa­ble d’u­ne vio­la­ti­on inten­ti­on­nel­le de l’ar­tic­le 60, ali­néa 1, lett­re a de la LPD. Le pré­ve­nu doit être sanc­tion­né pour la vio­la­ti­on commise.

Le man­que de moti­va­ti­on et la plain­te péna­le soulè­vent des questions.

Fausse appa­rence d’exhaustivité ?

Dans l’é­tat de fait objec­tif, une pei­ne selon l’art. 60 al. 1 let. a en rela­ti­on avec l’art. 25 LPD pré­sup­po­se que la per­son­ne con­cer­née a été infor­mée de l’e­xi­stence d’u­ne vio­la­ti­on de la loi. L’art. 25 LPD pré­sup­po­se que le rens­eig­ne­ment est trom­peur. Cela peut être le cas si une par­tie de l’in­for­ma­ti­on est fausse ou si elle don­ne une fausse impres­si­on. Cela com­prend éga­le­ment le cas où une si des infor­ma­ti­ons effec­ti­ve­ment incom­plè­tes appa­rais­sent com­me com­plè­tes.

En revan­che, ne sont pas punis­sa­bles notamment

• inac­tion (pas de réac­tion du tout, pro­lon­ga­ti­on dis­pro­por­ti­onnée du délai de réponse) ;
• Refus total avec ou sans justi­fi­ca­ti­on (“nous ne vous par­lons pas”, “la LPD n’est pas appli­ca­ble”, “l’ex­cep­ti­on XY s’ap­pli­que”, etc ;)
• l’in­for­ma­ti­on incom­plè­te, pour autant que l’on ne don­ne pas la fausse impres­si­on que l’in­for­ma­ti­on est com­plè­te. C’est éga­le­ment le cas du message :
  

  Le para­gra­phe 1, point a), cou­vre la four­ni­tu­re inten­ti­on­nel­le d’un faux rens­eig­ne­ment, mais aus­si la four­ni­tu­re inten­ti­on­nel­le d’un rens­eig­ne­ment incom­plet tout en don­nant l’im­pres­si­on que le rens­eig­ne­ment est complet.

La punis­sa­bi­li­té pré­sup­po­se donc que l’in­for­ma­ti­on incom­plè­te soit même sus­cep­ti­ble de don­ner l’im­pres­si­on d’êt­re complète : 

• Une décla­ra­ti­on d’ex­haus­ti­vi­té sans rest­ric­tion est pré­ju­di­cia­ble. Elle est évi­dem­ment décon­seil­lée et il n’e­xi­ste pas de droit à en obte­nir une (même si le Modè­le de deman­de de rens­eig­ne­ments du PFPDT demande).
• Si un responsable ne recher­che pas dans tous les systè­mes par­ce qu’il sup­po­se que la per­son­ne con­cer­née ne s’in­té­res­se qu’à cer­tai­nes don­nées, il dev­rait donc révé­ler qu’il a limi­té ses efforts de recher­che. Dans ce cas, une vio­la­ti­on péna­le­ment répré­hen­si­ble du droit d’ac­cès n’ent­re pas en ligne de comp­te. Tout dépend des cir­con­stances et des for­mu­la­ti­ons concrètes.
• En l’oc­cur­rence, TX n’a­vait pas fait de décla­ra­ti­on d’ex­haus­ti­vi­té. Au con­trai­re, TX a décla­ré avoir “pu trou­ver deux enre­gi­stre­ments dans le système”. Cela indi­que que la recher­che inter­ne des don­nées de RA Stei­ger a été effec­tuée avec un effort limi­té et laisse au moins entendre qu’il pour­rait y avoir d’aut­res don­nées (c’est pour­quoi nous avons choi­si cet­te for­me de répon­se). recom­man­der dans not­re répon­se type). Quel­le que soit l’ap­pré­cia­ti­on que l’on por­te sur cet­te cir­con­stance, il est dif­fi­ci­le de com­prend­re que le Statt­hal­ter­amt n’ait pas au moins véri­fié si, dans ces cir­con­stances, les rens­eig­ne­ments four­nis par TX pou­vai­ent don­ner l’im­pres­si­on d’êt­re complets.

On peut éga­le­ment se deman­der ce qu’il en est lorsqu’un rens­eig­ne­ment est en soi sus­cep­ti­ble de don­ner une fausse impres­si­on d’ex­haus­ti­vi­té, mais que cet­te impres­si­on n’ap­pa­raît pas en réa­li­té, par­ce que le desti­na­tai­re – quel­le qu’en soit la rai­son – sait ou sup­po­se que le rens­eig­ne­ment est com­plet.immtque le rens­eig­ne­ments sont effec­ti­ve­ment incomplets.

C’est le cas dans la pré­sen­te con­stel­la­ti­on. RA Stei­ger a fait remar­quer à TX que le rens­eig­ne­ment était “mani­fe­stem­ent incom­plè­te”. Il s’est peut-être éner­vé à ce sujet, peut-être pas à tort, mais l’é­ner­ve­ment prouve justem­ent qu’il n’y avait pas d’erreur.

Pour autant qu’on pui­s­se le voir, la lit­té­ra­tu­re et la juris­pru­dence ne se sont pas pen­chées sur la que­sti­on de savoir si une trom­pe­rie con­crè­te est néces­saire. Or, l’é­lé­ment objec­tif de l’in­frac­tion ne peut être con­som­mé ici que si l’on con­çoit le ris­que d’in­dui­re en err­eur com­me un délit de mise en dan­ger abstrai­te, c’est-à-dire si l’on admet que le ris­que abstrait de don­ner une fausse impres­si­on est suffisant.

C’est à pei­ne possible :

• Si un ris­que abstrait de trom­pe­rie ne se mani­fe­ste pas dans un cas con­cret, la per­son­ne con­cer­née peut recour­ir à la voie civi­le. Mais la punis­sa­bi­li­té ne doit pas s’ap­pli­quer là où la per­son­ne con­cer­née peut recour­ir à la voie civi­le. Le mes­sa­ge con­ti­ent une remar­que géné­ra­li­sable à ce sujet :
  

  En revan­che, la per­son­ne pri­vée qui pré­tend, en se réfé­rant aux artic­les 18 ou 25, qu’el­le n’est pas tenue à l’in­for­ma­ti­on n’est pas punis­sa­ble. Dans un tel cas, la per­son­ne con­cer­née sait en effet qu’un trai­te­ment de don­nées est en cours. Elle est donc en mesu­re de fai­re valoir ses droits et d’en­ga­ger une pro­cé­du­re civi­le au cours de laquel­le il pour­ra être déci­dé si le refus ou la limi­ta­ti­on du droit d’ac­cès ou de l’ob­li­ga­ti­on d’in­for­ma­ti­on est justi­fié. L’al. 2 reprend l’art. 34, al. 2, let. b, LPD, qui décla­re punis­sa­ble le fait de four­nir de faux rens­eig­ne­ments ou de refu­ser de coopé­rer dans le cad­re d’u­ne enquête du préposé.

• De plus, l’in­for­ma­ti­on est four­nie dans le cad­re de la rela­ti­on inter­ne ent­re le responsable et la per­son­ne con­cer­née. Il ne s’a­git pas d’un délit de com­mu­ni­ca­ti­on de mas­se. Il n’est pas néces­saire de cher­cher une con­cep­ti­on de la cir­cula­ti­on et donc un critère abstrait.
• Le droit d’ac­cès sert à pro­té­ger l’au­to­dé­ter­mi­na­ti­on infor­ma­ti­on­nel­le (ou quel que soit le but de pro­tec­tion de l’art. 13 Cst.), en tout cas la pro­tec­tion indi­vi­du­el­le. Il n’est donc pas néces­saire d’empêcher des rens­eig­ne­ments abstrai­te­ment déli­cats – il suf­fit que la per­son­ne con­cer­née ne soit pas trom­pée dans les faits.

Dans ce con­tex­te, il est pas pour­quoi un ris­que abstrait d’in­dui­re en err­eur dev­rait suf­fi­re si, con­crè­te­ment, il n’y a pas de ris­que d’in­dui­re en err­eur. il n’y a pas d’err­eur de repré­sen­ta­ti­on. En d’aut­res ter­mes, il n’y a pas d’in­frac­tion : Si, com­me dans le cas pré­sent, il est clair que la per­son­ne con­cer­née n’a pas été amenée à cro­i­re que les infor­ma­ti­ons étai­ent com­plè­tes, le fait qu’el­les ne le soi­ent pas ne peut pas être punis­sa­ble et la per­son­ne con­cer­née peut et doit sai­sir le tri­bu­nal civil.

Pré­mé­di­ta­ti­on ?

Une sanc­tion en ver­tu de l’ar­tic­le 60 LPD pré­sup­po­se en out­re une inten­ti­on, le dol éven­tuel étant suf­fi­sant. Dans le cas pré­sent, le juri­ste d’entre­pri­se aurait donc dû savoir ou sup­po­ser et s’ac­com­mo­der de ce que

• ses rens­eig­ne­ments objec­ti­ve­ment incom­plet est et
• le fausse impres­si­on d’ex­haus­ti­vi­té (car l’in­ten­ti­on doit engl­ober l’en­sem­ble des élé­ments objec­tifs de l’infraction).

Ce n’est pas le cas ici et il est très pro­ba­ble que ce ne soit pas le cas :

• Pre­miè­re­ment, il est clair que le juri­ste de l’entre­pri­se ne recher­che pas per­son­nel­le­ment les don­nées de Me Stei­ger dans les systè­mes de TX. La com­mu­ni­ca­ti­on de rens­eig­ne­ments est, du moins dans les gran­des ent­re­pri­ses, un pro­ce­s­sus basé sur la divi­si­on du tra­vail. C’est pour­quoi on ne peut pas sim­ple­ment impu­ter au juri­ste d’entre­pri­se le fait qu’il savait ou sup­po­sait que les don­nées qui lui avai­ent été four­nies en inter­ne étai­ent incom­plè­tes. La répon­se selon laquel­le Tame­dia a “pu trou­ver deux jeux de don­nées” laisse au con­trai­re clai­re­ment entendre qu’il a tout sim­ple­ment trans­mis ce qu’u­ne fonc­tion com­mer­cia­le pou­vait loca­li­ser, sans le remett­re en que­sti­on. Dans ce cas, seu­le une nég­li­gence con­sci­en­te peut ent­rer en ligne de comp­te, mais elle pré­sup­po­se éga­le­ment que le juri­ste d’entre­pri­se s’est fié à l’ex­haus­ti­vi­té, con­trai­re­ment à ses obligations.
• Deu­xiè­me­ment, on peut sup­po­ser que le juri­ste d’entre­pri­se ne savait pas ou n’a pas sup­po­sé que RA Stei­ger se fierait à tort à l’ex­haus­ti­vi­té des infor­ma­ti­ons. Sinon, il aurait for­mulé dif­fé­rem­ment ses répon­ses à RA Steiger.

L’or­don­nan­ce péna­le ne con­ti­ent aucu­ne expli­ca­ti­on sur ces que­sti­ons, l’in­ten­ti­on est sim­ple­ment supposée :

Étant don­né que l’ac­cusé, en tant que per­son­ne responsable de TX Group SA, a don­né l’im­pres­si­on, par ses infor­ma­ti­ons selon les­quel­les aucu­ne don­née ne se trou­vait dans ’20 minu­tes’, que cel­les-ci étai­ent com­plè­tes, bien que d’aut­res don­nées con­cer­nant le dénon­cia­teur soi­ent dis­po­ni­bles, l’ac­cusé a don­né, en con­nais­sance de cau­se et volon­tai­re­ment, une infor­ma­ti­on inexac­te ou incomplète.

La pré­fec­tu­re n’a­vait mani­fe­stem­ent pas envie de se poser des que­sti­ons ou de cla­ri­fier les faits plus en détail, notam­ment de savoir qui savait quoi et quand chez TX et qui était responsable de quoi et quand. Au vu du fai­ble mon­tant de l’or­don­nan­ce péna­le, l’a­men­de aurait alors dû être inf­li­gée – si elle l’a­vait été – à TX lui-même (art. 64, al. 2 LPD).

Notes

La plain­te péna­le et l’or­don­nan­ce péna­le nui­sent à la pro­tec­tion des don­nées qui exi­ste réel­le­ment. La responsa­bi­li­té péna­le per­son­nel­le n’a tou­jours été qu’un pis-aller. Il était évi­dent que cela cré­erait de fausses inci­ta­ti­ons (voir à ce sujet Glatt­haar sur ce blog). On pou­vait tou­te­fois espé­rer que les amen­des soi­ent limi­tées aux cas les plus gra­ves. En l’oc­cur­rence, des err­eurs ont peut-être été com­mi­ses, mais si elles l’ont été, c’est cer­tai­ne­ment par l’entre­pri­se. Or, une ordon­nan­ce péna­le joue sur l’hom­me ou la femme. C’est pré­cis­é­ment le pro­blè­me des amen­des. En fin de comp­te, elles ne font que rend­re les juri­stes en matiè­re de pro­tec­tion des don­nées plus dif­fi­ci­les à trou­ver dans les ent­re­pri­ses, les ren­dent plus réti­cents à prend­re des ris­ques en matiè­re de con­seil et font que des idées exa­gé­rées d’in­dé­pen­dance con­dui­sent à un jeu de chai­ses musi­cal­es. Cela com­pli­que la col­la­bo­ra­ti­on ent­re les dépar­te­ments ou ent­re la pre­miè­re et la deu­xiè­me ligne. C’est pré­cis­é­ment ce qui con­duit à des err­eurs tel­les qu’u­ne infor­ma­ti­on incomplète.