Cass. crim., 13 janvier 2026, n° 25-80.474
La Cour de cassation, dans un arrêt du 13 janvier 2026, apporte une clarification importante sur le champ d’application des infractions pénales relatives aux données personnelles, prévues aux articles 226-21 et 226-22 du Code pénal. La décision rappelle que ces deux textes ne visent pas les mêmes types de traitements.
🟠 Les faits à l’origine du litige
Un individu avait porté plainte contre un fonctionnaire de police pour usage abusif de données personnelles issues d’un fichier de main courante, invoquant notamment le détournement de la finalité du traitement et la violation du secret professionnel.
Le juge d’instruction avait refusé d’ouvrir une information judiciaire, décision confirmée en appel par la chambre de l’instruction, au motif que les données en cause figuraient dans un fichier manuel, exclu selon elle du champ des infractions invoquées.
🟠 La distinction opérée par la Cour de cassation
La chambre criminelle rappelle que l’article 226-21 du Code pénal, qui sanctionne le détournement de la finalité d’un traitement de données personnelles, suppose l’existence d’un traitement automatisé. À l’inverse, l’article 226-22, relatif à la divulgation non autorisée de données portant atteinte à la vie privée ou à la considération de la personne, s’applique tant aux traitements automatisés qu’aux traitements manuels.
🟠 Une erreur de qualification sanctionnée
La Cour reproche à la juridiction d’appel de ne pas avoir recherché la nature exacte du traitement en cause. En effet, les données issues d’une main courante peuvent relever soit d’un traitement automatisé, soit d’un traitement manuel, selon les modalités de leur gestion.
Cette distinction conditionne directement l’application des infractions pénales invoquées.
🟠 Portée de la décision
En cassant l’arrêt d’appel, la Cour de cassation rappelle l’importance d’une qualification précise du traitement de données avant d’écarter toute poursuite pénale. La décision illustre également la complémentarité — mais non la superposition — des articles 226-21 et 226-22 du Code pénal dans la protection pénale des données personnelles.
🟠 Conclusion
Par cet arrêt, la Cour de cassation renforce la rigueur attendue dans l’analyse des atteintes pénales aux données personnelles. La nature automatisée ou manuelle du traitement constitue un élément déterminant pour l’application des incriminations, que les juridictions ne peuvent éluder.