Article 10 du RGPD : Traitement des données à caractère personnel relatives aux condamnations pénales et infractions

Texte original du RGPD

“Le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l’article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique.”

Équivalent directive 95/46 CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données

Article 8 

Point 5. Le traitement de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peut être effectué que sous le contrôle de l’autorité publique ou si des garanties appropriées et spécifiques sont prévues par le droit national, sous réserve des dérogations qui peuvent être accordées par l’État membre sur la base de dispositions nationales prévoyant des garanties appropriées et spécifiques. Toutefois, un recueil exhaustif des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique.

Équivalent de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (loi Informatique et Liberté)

Article 46

Les traitements de données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes ne peuvent être effectués que par :

• Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ainsi que les personnes morales de droit privé collaborant au service public de la justice et appartenant à des catégories dont la liste est fixée par décret en Conseil d’Etat, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés, dans la mesure strictement nécessaire à leur mission ;
• Les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;
• Les personnes physiques ou morales, aux fins de leur permettre de préparer et, le cas échéant, d’exercer et de suivre une action en justice en tant que victime, mise en cause, ou pour le compte de ceux-ci et de faire exécuter la décision rendue, pour une durée strictement proportionnée à ces finalités. La communication à un tiers n’est alors possible que sous les mêmes conditions et dans la mesure strictement nécessaire à la poursuite de ces mêmes finalités ;
• Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits ;
• Les réutilisateurs des informations publiques figurant dans les décisions mentionnées à l’article L. 10 du code de justice administrative et à l’article L. 111-13 du code de l’organisation judiciaire, sous réserve que les traitements mis en œuvre n’aient ni pour objet ni pour effet de permettre la réidentification des personnes concernées.

Analyse des 3 textes qui précèdent

La Directive 95/46/CE, adoptée en 1995, posait un principe assez simple : seules les autorités publiques pouvaient contrôler les données pénales. Mais elle ne précisait pas clairement si ce contrôle devait être direct ou pouvait se faire par simple autorisation légale. Elle ne disait rien non plus sur l’exclusivité des bases de données complètes détenues par l’État, ce qui laissait une marge d’interprétation pour les États membres. En résumé, la directive contenait le principe mais manquait de détails pour encadrer précisément les traitements.

L’article 10 du RGPD (règlement européen de 2016, en vigueur depuis 2018)

Le RGPD est venu clarifier et renforcer la protection de ces données sensibles en :

• Distinguant clairement deux conditions de licéité : soit un contrôle direct par une autorité publique, soit une autorisation légale stricte avec garanties.
• Affirmant explicitement que seul l’État peut tenir des registres complets de condamnations, empêchant les acteurs privés de créer des bases exhaustives.
• Confirmait le système de double condition juridique, en renvoyant à une base légale générale (article 6.1 RGPD) en plus des conditions spécifiques.

La Loi Informatique et Libertés est allée au-delà du RGPD en élargissant certains acteurs autorisés : par exemple, les personnes morales privées qui collaborent avec la justice ou les réutilisateurs d’informations publiques peuvent parfois accéder à ces données. Cette approche est plus flexible et pragmatique, adaptée à la réalité du système judiciaire français. Bien sûr, cette extension est encadrée strictement et vise à rester conforme au RGPD grâce à des garanties renforcer les droits des personnes.

En résumé

• La directive 95/46/CE posait un cadre général avec peu de détails.
• Le RGPD, via l’article 10, a précisé les conditions strictes de traitement, renforcé l’exclusivité publique des registres, et ajouté des exigences légales claires.
• La loi française adapte ce cadre européen en étendant avec prudence le panel des acteurs autorisés, toujours sous contrôle strict.