Décision de référence : cc • N° 90-87.555 • 1991-05-23 • Consulter la décision →
Imaginez : vous êtes propriétaire à Saint-Paul-lès-Dax et vous gérez vous-même la location de votre appartement. Depuis des années, vous utilisez un petit fichier Excel pour suivre les noms, adresses et coordonnées bancaires de vos locataires. Rien de bien méchant, pensez-vous. Pourtant, ce fichier est un traitement automatisé d'informations nominatives au sens de la loi Informatique et Libertés. Et si vous ne l'avez jamais déclaré à la CNIL (Commission nationale de l'informatique et des libertés), vous commettez un délit. Mais pour combien de temps ?
La question qui se pose à chaque propriétaire ou professionnel de l'immobilier est : suis-je à l'abri d'une poursuite si j'ai installé mon fichier il y a plus de trois ans ? La réponse est non, si vous l'utilisez encore aujourd'hui. C'est ce qu'a tranché la Cour de cassation dans un arrêt du 23 mai 1991, une décision fondatrice pour comprendre la prescription en matière de protection des données.
Cet arrêt, bien que datant de 1991, reste d'une actualité brûlante à l'ère du numérique. Il a posé un principe clair : le délit de défaut de déclaration est un délit continu, ce qui signifie qu'il se prolonge tant que le fichier est en service. undefined, le compteur de la prescription ne démarre pas au jour de l'installation, mais au jour où l'infraction prend fin, c'est-à-dire lorsque le traitement cesse ou est régularisé. Une sécurité pour les autorités, mais un piège pour les négligents.
Les faits : une histoire comme il en arrive chaque jour
M. X, propriétaire à Saint-Paul-lès-Dax, avait installé en 1986 un système informatique pour gérer ses locations saisonnières sur la côte landaise, notamment à Capbreton. Cet outil lui permettait de stocker les noms, adresses, dates de séjour et coordonnées bancaires de ses clients. Il n'avait jamais effectué la déclaration préalable auprès de la CNIL, pourtant obligatoire depuis la loi du 6 janvier 1978. En 1989, une plainte est déposée par un ancien locataire mécontent, qui découvre que ses données personnelles sont conservées sans son consentement explicite.
L'affaire arrive devant le tribunal correctionnel. M. X est poursuivi pour le délit prévu à l'article 41 de la loi de 1978, qui punit d'un an d'emprisonnement et de 15 000 € d'amende (montant actualisé) le fait de procéder à un traitement automatisé de données nominatives sans déclaration préalable. Mais M. X invoque la prescription : selon lui, le délai de prescription de trois ans (applicable aux délits) aurait commencé à courir au jour de l'installation de son logiciel en 1986, soit plus de trois ans avant la plainte.
Le tribunal correctionnel le condamne néanmoins. M. X fait appel. La cour d'appel confirme la condamnation, mais ne répond pas clairement sur le point de départ de la prescription. M. X se pourvoit en cassation. La Cour de cassation, dans son arrêt du 23 mai 1991, rejette son pourvoi et clarifie la règle : le délit de défaut de déclaration est un délit continu, la prescription ne court qu'à compter de la cessation du traitement. Comme M. X utilisait toujours son fichier au moment de la plainte, l'infraction était encore en cours. La prescription n'avait donc pas commencé à courir.
Le raisonnement de la juridiction — décortiqué
La Cour de cassation s'appuie sur l'article 41 de la loi du 6 janvier 1978, qui érige en délit le fait de « procéder ou faire procéder à des traitements automatisés d'informations nominatives sans avoir, au préalable, fait la déclaration prévue à l'article 16 ». Le texte vise donc non seulement l'acte initial de mise en œuvre, mais aussi le fait de « procéder » au traitement, c'est-à-dire de l'exécuter de façon continue.
Les juges rappellent un principe classique en droit pénal : l'infraction continue se distingue de l'infraction instantanée. Une infraction instantanée (comme un vol) est consommée en un instant, et le délai de prescription commence dès cet instant. Une infraction continue (comme la séquestration) se prolonge dans le temps ; la prescription ne commence qu'à la fin de cette situation. Ici, le défaut de déclaration est un état : tant que le fichier existe et est utilisé sans déclaration, l'infraction est commise chaque jour.
La Cour précise que le point de départ du délai de prescription ne peut être fixé au jour de l'installation de l'appareil, car l'infraction n'est pas uniquement l'installation, mais aussi la poursuite du traitement. undefined si vous installez un fichier non déclaré et que vous l'utilisez pendant dix ans, vous êtes en infraction pendant dix ans. La prescription triennale ne commence à courir que lorsque le traitement cesse (ou est régularisé).
Cette décision a été confirmée par la suite par la Cour de cassation et s'inscrit dans une logique de protection des données personnelles : elle évite qu'un contrevenant puisse se mettre à l'abri en laissant passer trois ans après l'installation, tout en continuant à traiter des données illégalement.
Ce que ça change pour vous — concrètement
Cette jurisprudence a des implications immédiates pour les acteurs de l'immobilier, qui manipulent souvent des fichiers de données personnelles.
Propriétaire bailleur : Si vous gérez vos locations avec un logiciel de gestion locative, un tableur ou même un simple fichier papier informatisé, vous devez vérifier que vous avez déclaré ce traitement à la CNIL. Exemple : un propriétaire à Capbreton utilise depuis 2015 un fichier pour ses locations saisonnières. En 2023, un locataire mécontent porte plainte. Le propriétaire ne peut pas invoquer la prescription sous prétexte que le fichier a été créé il y a plus de trois ans. Il est toujours en infraction. Il risque une amende pouvant aller jusqu'à 15 000 € (pour une personne physique) et une peine d'emprisonnement.
Agence immobilière ou syndic : Ces professionnels traitent des milliers de données (clients, prospects, copropriétaires). S'ils n'ont pas déclaré leurs fichiers, ils sont passibles de sanctions pénales. De plus, depuis le RGPD (Règlement général sur la protection des données), les amendes administratives peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. La jurisprudence de 1991 reste pertinente pour déterminer la prescription des poursuites pénales.
Copropriétaire : Si votre syndic utilise un fichier des copropriétaires sans déclaration, vous pouvez le signaler à la CNIL. Mais attention : le délit est constitué tant que le fichier est utilisé. Même si le syndic a installé le fichier il y a dix ans, il peut être poursuivi aujourd'hui.
undefined : la déclaration à la CNIL est gratuite et simple à réaliser en ligne (via le site www.cnil.fr). Ne pas la faire expose à des risques bien supérieurs au coût de la conformité.
Quatre conseils pour éviter ce type de litige
- Déclarez systématiquement tout fichier contenant des données nominatives à la CNIL. Que vous soyez propriétaire, agent immobilier ou syndic, dès que vous collectez des noms, adresses, téléphones, etc., dans un fichier informatisé, vous devez faire une déclaration préalable. La procédure est gratuite et prend 15 minutes en ligne. N'attendez pas d'être contrôlé.
- Tenez un registre de vos traitements. Depuis le RGPD, toute personne traitant des données doit tenir un registre. Notez la date de création, la finalité, les destinataires, et surtout la date de déclaration CNIL. Cela vous permettra de prouver votre conformité en cas de contrôle.
- Mettez à jour vos déclarations. Si vous modifiez l'usage de votre fichier (par exemple, vous commencez à collecter des données bancaires en plus des noms), vous devez faire une déclaration complémentaire. La jurisprudence continue s'applique aussi aux modifications non déclarées.
- Supprimez les fichiers inutilisés. Si vous n'utilisez plus un fichier, détruisez-le ou archivez-le hors ligne. Tant qu'il existe sur votre ordinateur, même si vous ne l'utilisez plus, vous pourriez être considéré comme en infraction continue si vous ne l'avez pas déclaré. Faites le ménage régulièrement.
Approfondissement : jurisprudence connexe et évolutions
La Cour de cassation a confirmé cette position dans plusieurs arrêts ultérieurs. Par exemple, dans un arrêt du 20 mars 2001 (n° 00-84.519), elle a réaffirmé que le défaut de déclaration est un délit continu pour l'application de la prescription. De même, la chambre criminelle a étendu ce raisonnement à d'autres infractions connexes, comme le défaut de consentement des personnes fichées.
Cette jurisprudence a été intégrée dans la loi Informatique et Libertés modifiée, et plus tard dans le RGPD. Bien que le RGPD ait remplacé l'obligation de déclaration par une obligation de registre et d'analyse d'impact, le principe de l'infraction continue demeure pour les manquements à ces nouvelles obligations. Les tribunaux continuent de s'y référer.
En pratique, cela signifie que les contrôles de la CNIL peuvent porter sur des fichiers installés depuis longtemps, sans que la prescription soit acquise. Les professionnels de l'immobilier doivent donc être vigilants : un fichier créé il y a dix ans et jamais déclaré peut encore être sanctionné aujourd'hui. La tendance est à une protection accrue des données, avec des sanctions plus lourdes.
Checklist avant d'agir
- Vérifiez si vous avez déclaré tous vos fichiers contenant des données personnelles. Connectez-vous sur le site de la CNIL (www.cnil.fr) et consultez votre espace déclarant. Si vous n'avez jamais rien déclaré, vous êtes probablement en infraction.
- Identifiez tous les fichiers que vous utilisez. Faites l'inventaire : logiciel de gestion locative, fichier clients, fichier prospects, liste des copropriétaires, etc.
- Régularisez immédiatement. Faites une déclaration en ligne pour chaque fichier. Pour les fichiers existants, il n'est pas nécessaire de remonter le temps ; déclarez-les dès maintenant. Cela stoppe l'infraction et fait courir la prescription à partir de cette date.
- Supprimez les fichiers obsolètes. Si vous n'utilisez plus un fichier, supprimez-le définitivement. Conservez une preuve de suppression (date, procédure).
- En cas de plainte ou de contrôle, ne tentez pas de dissimuler. La bonne foi peut être prise en compte, mais la régularisation rapide est le meilleur atout. Consultez un avocat pour préparer votre défense.
Vous vous retrouvez dans une situation similaire ? Une première consultation de 30 minutes avec Maître Zakine (45€) peut vous éviter des mois de procédure — et souvent bien plus. Prendre rendez-vous →
