Définition et application par la jurisprudence
Article 226-20
Le fait, sans l’accord de la Commission nationale de l’informatique et des libertés, de conserver des informations sous une forme nominative au-delà de la durée prévue à la demande d’avis ou à la déclaration préalable à la mise en oeuvre du traitement informatisé est puni de trois ans d’emprisonnement et de 300 000 F d’amende.
Source : Légifrance (DILA) – Licence Ouverte 2.0
Consulter sur LégifranceNota bene — application de l’article 226-20 CP
Les juges sanctionnent le maintien de données personnelles au-delà des durées légales ou réglementaires, sauf exception « historiques, statistiques ou scientifiques » strictement encadrée.
Concrètement, ils vérifient les textes applicables fixant la durée de conservation, la finalité déclarée, et l’absence d’un fondement légal de prorogation, en visant le responsable du traitement (y compris, selon les cas, des acteurs de l’écosystème numérique soumis à des obligations de conservation).
L’infraction peut être retenue seule ou en combinaison avec les autres délits « informatique et libertés » du chapitre (226-17 à 226-22), lorsque des données sont conservées puis réutilisées à d’autres fins non prévues par la loi.
En pratique, le pénal reste subsidiaire par rapport aux sanctions RGPD, mais sert de levier lorsque la conservation illicite est caractérisée et persistante.
Aucune jurisprudence analysée pour le moment.
Notre cabinet intervient sur Paris et en France entière pour toute question relative à l’application de cet article.
Téléphone : 06 89 11 34 45
Prendre rendez-vous
