Décision de référence : cc • N° 11-26.099 • 2013-04-23 • Consulter la décision →
Vous gérez un petit immeuble à Antibes et, comme chaque année, vous mettez à jour le logiciel de gestion locative. Rien de bien compliqué : une nouvelle version, quelques correctifs de sécurité, l'interface qui change un peu. Mais soudain, votre expert-comptable vous alerte : « Attention, si vous modifiez le traitement des données de vos locataires, il faut peut-être refaire une déclaration à la CNIL. » Panique à bord : faut-il tout recommencer ? Combien de temps ? Combien ça coûte ?
Cette question, des centaines de propriétaires, de syndics et de professionnels de l'immobilier se la posent chaque jour. Car la protection des données personnelles est devenue un enjeu majeur, et la moindre erreur peut coûter cher. Mais qu'est-ce qui est vraiment considéré comme un changement nécessitant une nouvelle déclaration ? La réponse est dans un arrêt de la Cour de cassation du 23 avril 2013 (n° 11-26.099), qui clarifie une notion clé : la « modification substantielle ».
undefined la Cour nous dit que seule une modification qui porte sur les informations qui ont été préalablement déclarées à la CNIL doit être signalée. Une simple mise à jour technique d'un logiciel n'entraîne pas l'obligation de refaire une déclaration. Mais attention : encore faut-il savoir ce qui est « substantiel » et ce qui ne l'est pas. Décryptons ensemble cette décision, avec des exemples concrets pour vous guider.
Les faits : une histoire comme il en arrive chaque jour
L'affaire concerne une structure d'accueil pour mineurs, gérée par une association. Pour son fonctionnement, elle utilise un logiciel de gestion qui enregistre des données sur les éducateurs et les enfants accueillis. En 2007, la direction décide de passer d'un logiciel à un autre. Rien d'exceptionnel : une mise à jour, un changement de fournisseur, des fonctionnalités améliorées. Mais un salarié conteste cette transition, estimant que les données collectées sont nominatives et que le changement de logiciel aurait dû être déclaré à la CNIL au préalable. Il saisit les prud'hommes pour obtenir des dommages et intérêts.
Le salarié argue que les données enregistrées (noms, prénoms, âges, etc.) sont des données à caractère personnel, et que la modification du traitement nécessitait une déclaration préalable. L'association, elle, défend que le passage d'un logiciel à l'autre n'était qu'une simple mise à jour technique, sans impact sur la nature des données traitées. La cour d'appel donne raison au salarié, estimant que les données étant nominatives, toute modification du traitement devait être déclarée. Mais l'association se pourvoit en cassation.
La Cour de cassation casse l'arrêt d'appel. Elle reproche aux juges du fond de ne pas avoir recherché si le changement de logiciel n'était pas en réalité une simple mise à jour, qui ne nécessite pas de nouvelle déclaration. undefined, il ne suffit pas que les données soient nominatives pour qu'une modification soit considérée comme substantielle. Encore faut-il que cette modification porte sur les informations qui ont été déclarées à la CNIL. Si le nouveau logiciel traite les mêmes données de la même manière, ce n'est qu'une évolution technique, pas un changement substantiel.
Le raisonnement de la juridiction — décortiqué
Le raisonnement de la Cour de cassation s'appuie sur l'article 22 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi Informatique et Libertés), dans sa version applicable à l'époque. Cet article prévoit que les traitements de données à caractère personnel doivent être déclarés à la CNIL, sauf exceptions. Mais il précise aussi que « toute modification substantielle des informations contenues dans la déclaration » doit être portée à la connaissance de la Commission. La question est donc : qu'est-ce qu'une modification substantielle ?
La Cour répond en distinguant deux choses : d'une part, la nature des données traitées (nominatives ou non) ; d'autre part, l'objet de la déclaration (les informations déclarées). Une modification substantielle, c'est un changement qui affecte les informations que vous avez fournies à la CNIL : la finalité du traitement, les catégories de données, les destinataires, la durée de conservation, etc. En revanche, une simple mise à jour technique — comme le passage d'un logiciel à un autre sans changer ces éléments — n'est pas substantielle.
undefined, la Cour de cassation dit : « Ne vous focalisez pas sur le nom du logiciel ou sa version. Regardez plutôt ce qui change concrètement dans le traitement des données. » Si vous passez d'Excel à un logiciel professionnel, mais que vous continuez à collecter les mêmes informations, pour les mêmes finalités, sans les partager avec de nouveaux destinataires, il n'y a pas de modification substantielle. undefined, c'est que cette décision a été rendue sous l'empire de l'ancienne loi, mais elle reste pertinente aujourd'hui avec le RGPD (Règlement général sur la protection des données), qui impose une analyse d'impact pour les modifications substantielles.
Attention toutefois : cette décision ne doit pas être interprétée comme un blanc-seing. Si la mise à jour implique, par exemple, l'ajout de données sensibles (santé, opinions politiques, etc.), ou un changement de finalité (passer de la gestion locative à du marketing), alors là, c'est une modification substantielle. undefined, j'ai rencontré des dossiers où un simple changement d'hébergeur a été considéré comme substantiel parce que les données étaient transférées vers un pays hors UE. Tout est une question de contexte.
Ce que ça change pour vous — concrètement
Pour un propriétaire bailleur à Antibes ou à Cannes, cette décision est rassurante. Vous utilisez un logiciel de gestion locative pour suivre les loyers, les quittances, les états des lieux. Vous changez de logiciel ? Avant de paniquer, posez-vous trois questions : quelles données sont traitées ? à quelles fins ? qui y a accès ? Si les réponses sont les mêmes, vous n'avez pas besoin de refaire une déclaration. En revanche, si vous décidez d'ajouter un module de notation des locataires (notation qui serait partagée avec d'autres bailleurs), là, c'est une modification substantielle.
Pour un locataire, l'impact est indirect mais réel. Vous êtes en droit de savoir quelles données sont collectées sur vous et pourquoi. Si votre bailleur change de logiciel, demandez-lui si cela change quelque chose dans le traitement de vos données. Il doit pouvoir vous répondre. S'il ne le fait pas, vous pouvez saisir la CNIL.
Pour un syndic de copropriété à Cannes, la question se pose aussi. Vous gérez un immeuble de 50 lots, avec un logiciel qui enregistre les noms des copropriétaires, leurs adresses, leurs charges. Vous passez à un logiciel en ligne. Est-ce une modification substantielle ? Pas si les données restent les mêmes et que le prestataire est en UE. Mais si le nouveau logiciel permet de publier les impayés sur un site accessible à tous les copropriétaires, là, c'est un changement de finalité qui nécessite une déclaration.
Exemple chiffré : un propriétaire à Cannes a dû payer 3 000 € d'honoraires d'avocat pour défendre un défaut de déclaration CNIL suite à un changement de logiciel. Avec une consultation préalable de 45 €, il aurait pu éviter ce litige. La décision de 2013 lui aurait permis de démontrer que la mise à jour n'était pas substantielle, mais il a préféré transiger pour éviter une procédure longue.
Si vous êtes dans cette situation, vous devez : 1) conserver les preuves de votre déclaration initiale à la CNIL ; 2) documenter le changement (quoi, quand, pourquoi) ; 3) vérifier si les informations déclarées sont modifiées ; 4) en cas de doute, consulter un avocat spécialisé.
Quatre conseils pour éviter ce type de litige
- Conservez précieusement votre déclaration CNIL initiale. Que ce soit un exemplaire papier ou le numéro de déclaration, gardez-le. C'est votre point de référence pour évaluer tout changement ultérieur.
- Documentez chaque mise à jour logicielle. Notez la date, la version, les fonctionnalités ajoutées ou supprimées, et surtout, si les catégories de données ou les finalités changent. Cela vous servira en cas de contrôle.
- Réalisez un test de proportionnalité. Avant de changer de logiciel, demandez-vous : ce changement affecte-t-il les droits des personnes concernées ? Si oui, il est probablement substantiel. Si non, vous pouvez procéder sans nouvelle déclaration.
- Consultez un avocat en cas de doute. Une simple mise à jour peut parfois cacher un changement substantiel (ex : ajout de données biométriques). Mieux vaut payer 45 € de consultation que 3 000 € de procédure.
Approfondissement : jurisprudence connexe et évolutions
Cette décision s'inscrit dans une lignée constante de la Cour de cassation, qui distingue clairement l'évolution technique de la modification substantielle. On peut citer un arrêt du 8 décembre 2009 (n° 08-43.592) où la Cour avait déjà jugé que le simple changement de support matériel (passage d'un fichier papier à un fichier informatique) n'était pas une modification substantielle. En revanche, un arrêt du 10 mai 2012 (n° 11-14.072) rappelle que l'ajout de données sensibles (comme l'origine raciale ou les opinions politiques) constitue toujours une modification substantielle, même si le logiciel reste le même.
Avec l'entrée en vigueur du RGPD en 2018, la notion de « modification substantielle » a été renforcée. Désormais, toute modification qui augmente les risques pour les droits et libertés des personnes doit faire l'objet d'une analyse d'impact (AIPD). La jurisprudence de 2013 reste donc pertinente, mais elle doit être lue à la lumière du RGPD. Les tribunaux continuent de s'y référer pour déterminer si un changement est technique ou substantiel.
La tendance des tribunaux est claire : ils privilégient une approche pragmatique. Ce qui compte, ce n'est pas le nom du logiciel, mais l'effet concret sur les données. Pour l'avenir, on peut s'attendre à ce que les juges soient de plus en plus vigilants sur les changements de finalité ou de destinataires, surtout dans le contexte de la location saisonnière et des plateformes comme Airbnb, où les données sont souvent partagées avec des tiers.
Récapitulatif et prochaines étapes
FAQ :
- Dois-je refaire une déclaration CNIL si je change de logiciel de gestion locative ? Pas si le nouveau logiciel traite les mêmes données pour les mêmes finalités. Si oui, vérifiez si les informations déclarées changent.
- Que faire si mon syndic change de logiciel sans m'informer ? Demandez-lui si le changement est substantiel. Il doit vous répondre. S'il refuse, saisissez la CNIL.
- Quels sont les risques si je ne déclare pas une modification substantielle ? Amende pouvant aller jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial (RGPD). En pratique, les sanctions pour les particuliers sont rares, mais le risque de contentieux avec un locataire ou un salarié est réel.
- Puis-je invoquer cette décision de 2013 pour défendre mon changement de logiciel ? Oui, à condition de prouver qu'il s'agit d'une simple mise à jour. Gardez des preuves : comparatif des fonctionnalités, courriels, etc.
Checklist « Ce qu'il faut faire si vous changez de logiciel » :
- ☐ Consultez votre déclaration CNIL initiale
- ☐ Listez les données traitées avant et après le changement
- ☐ Vérifiez si la finalité, les destinataires ou la durée de conservation changent
- ☐ Si tout est identique : pas de nouvelle déclaration, mais conservez une trace écrite
- ☐ Si un élément change : faites une analyse d'impact et déclarez la modification à la CNIL
Besoin d'un conseil personnalisé ? Contactez Maître Zakine — première consultation 30 min à 45€.
Vous vous retrouvez dans une situation similaire ? Une première consultation de 30 minutes avec Maître Zakine (45€) peut vous éviter des mois de procédure — et souvent bien plus. Prendre rendez-vous →
