Application par la jurisprudence

Nota bene — application de l’article 226-17-1 CP: Les juridictions caractérisent l’infraction dès lors qu’un responsable de traitement ou un sous-traitant, après une violation de données, omet la notification exigée par le RGPD (art. 33-34) ou la Loi Informatique et Libertés, ou la réalise tardivement sans justification valable. Elles vérifient concrètement le statut de l’auteur (responsable, sous-traitant ou fournisseur de services de communications électroniques), la réalité de la violation, le risque pour les droits et libertés, et le dépassement du délai de 72 heures. L’élément moral résulte en pratique de la connaissance de la violation et du choix de ne pas notifier ou d’une diligence insuffisante, sans qu’un dessein frauduleux soit nécessaire. Les peines prononcées sont surtout des amendes significatives, éventuellement assorties de mesures de conformité prononcées par ailleurs sur le terrain administratif ou civil.