参考判决： cc • N° 87-83.429 • 1987-11-03 • 查看判决 →
想象一下：您是Parentis-en-Born的业主，自己管理公寓的租赁。为了跟踪租金，您创建了一个小型Excel文件，包含租户的姓名、地址和电话号码。一个很方便的工具，您可能这么认为。但您知道吗？这个简单的表格可能受到《信息与自由法》（Informatique et Libertés）的约束。每个业主都会问：个人数据的保护到底有多广？答案在于法国最高法院（Cour de cassation）1987年11月3日的一项奠基性判决，该判决对“个人信息”给出了宽泛的定义：“任何能够以任何形式，直接或间接地识别其所涉及的自然人的信息。”将近40年后，这一定义仍是我们数据法的基石。
事实：一个每天都会发生的故事
1986年，一个人因在未向国家信息与自由委员会（CNIL）进行强制性事先申报的情况下实施自动化处理个人信息而被轻罪法庭（tribunal correctionnel）起诉。简而言之，他创建了一个包含个人数据的计算机文件，但没有遵守1978年1月6日关于信息、档案和自由的法律规定的程序。案件上诉至最高法院（Cour de cassation），但并非针对罪责本身，而是涉及一个初步法律问题：法官是否应提交合宪性先决问题（question prioritaire de constitutionnalité）？最高法院否定了这一请求，认为只要存在未经申报的处理，犯罪要件即已成立。但关键在于：在该判决中，最高法院重申了什么是个人信息。当时争论激烈：是否需要直接识别（姓名+姓氏）？还是只要信息能够通过交叉比对识别出个人即可？最高法院明确了：即使间接地，只要有可能识别，该信息就是个人信息。换句话说，电话号码、IP地址、银行账号即使没有姓名也可能属于个人数据。这一判决产生了巨大影响，因为它为法官和公民提供了保护隐私的广阔解释框架。
法院的推理——详细解析
最高法院依据1978年1月6日法律第4条（article 4 de la loi du 6 janvier 1978），该条定义了个人信息。法院明确指出，个人信息的性质不取决于载体（纸质、电子），也不取决于信息是否直接与姓名关联。关键在于它是否“允许”识别。法官对“允许”一词作广义解释：只要信息能够通过推理或交叉比对指向一个自然人即可。这一推理具有创新性，因为它预见了未来的技术。1987年，人们尚未谈论DNA、面部识别或地理定位。然而，最高法院给出的定义已经涵盖了这些技术。最高法院因此确认了一种广泛的、保护公民的解释。辩护方试图将概念限定为仅直接识别的数据，但被驳回。这一判决既非确认也非逆转：它是一项原则性判决，首次给出了如此清晰的定义。此后，2016年的《通用数据保护条例》（RGPD）采用了同样的逻辑，使用了“个人数据”这一术语。鲜为人知的是，这一判决还影响了欧洲法院的判例。
这对您意味着什么——具体而言
如果您是Mimizan的业主房东，通过软件或简单的Excel文件管理租赁，那么您持有个人信息：姓名、地址、电话、银行账户信息（RIB）、租金金额。您必须遵守法律：告知租户、必要时向CNIL申报处理（或指定数据保护官）、并确保信息安全。如果发生泄露或滥用，您可能面临刑事追诉。对于租户而言，这一判决保护了您：如果您的房东未经同意收集数据或将其用于其他目的（例如向您发送广告），您可以提出申诉。对于购房者，在买卖过程中，公证人（notaire）处理您的个人数据；他必须遵守同样的规则。在我的实践中，我遇到过一些案件，其中一名业主在网上公布其租户的姓名和地址，以揭露他们是欠款者。这明显违反法律，可处以最高30万欧元的罚款和5年监禁。另一个例子：物业经理（syndic de copropriété）将包含未付余额的业主名单投递到所有信箱。这也是禁止的。如果您遇到这种情况，您可以要求立即删除，并向CNIL投诉。诉讼时效为自发现事实起5年。
避免此类纠纷的四点建议
- 向CNIL申报您的数据处理：如果您使用客户档案、租赁管理软件或网站，请检查您是需要进行正常申报还是简化申报。大多数小型机构可以使用免费的在线表格。
- 明确告知相关个人：在签署租约或买卖协议时，提供一份信息通知，说明您收集哪些数据、为何收集以及保留多长时间。这是法律义务。
- 保护您的访问权限：用密码保护您的文件，不要将其留在共享计算机上，也不要通过不安全的电子邮件传输。如果计算机被盗，您可能需要承担责任。
- 不要保留数据超过必要时间：租约结束后，您应删除租户的数据（会计要求的数据除外，可保留10年）。一个包含20年前旧租户的文件是定时炸弹。
Besoin d'un conseil personnalisé ? Contactez Maître Zakine — première consultation 30 min à 45€.
深入探讨：相关判例与演变
1987年之前，个人信息的定义模糊不清。最高行政法院（Conseil d'État）早期的一项判决（1982年）采取了更严格的立场，要求直接识别。最高法院在1987年选择了宽泛的路径，此后欧洲法院（CJUE）在2014年的Google Spain案（被遗忘权）中遵循了这一路径。趋势是扩大保护范围。2018年生效的RGPD几乎逐字采用了这一定义。未来，可以预见法院将继续宽泛解释这一概念，尤其是在人工智能和生物识别技术兴起的背景下。业主和房地产专业人士必须保持警惕：租户的照片、用于开门的指纹、甚至通过算法分析的支付行为，都是个人数据。
关键要点
- 什么是个人信息？任何能够直接（姓名）或间接（IP地址、电话号码、车牌号）识别个人身份的数据。
- 何时需要申报档案？一旦您出于专业目的以自动化（电子）或非自动化（纸质）方式收集个人数据。为个人家庭用途（如个人通讯录）保留档案的个人可豁免，但注意不要超出此用途。
- 有哪些风险？对于企业，最高罚款可达2000万欧元或全球年营业额的4%（RGPD）；以及刑事追诉（罚款30万欧元和5年监禁）。
- 如何知道是否合规？问自己三个问题：1) 是否已告知相关个人？2) 数据是否安全？3) 是否保留时间过长？如有疑问，请查阅CNIL网站或咨询律师。
- 发生违规时该怎么办？联系CNIL（在线投诉）和您的律师。如果您是受害者，您可以就所遭受的损害要求赔偿。
您是否遇到类似情况？与Maître Zakine进行30分钟的首次咨询（45欧元）可以避免数月诉讼——通常更划算。预约 →
