Détournement de finalité d’un traitement de données personnelles : domaines d’application des articles 226-21 et 226-22 du code pénal

13.02.2026

Si l’article 226-21 du code pénal prévoit que l’infraction de détournement de la finalité d’un traitement de données à caractère personnel ne s’applique que lorsque ces données sont contenues dans un traitement automatisé, l’article 226-22 de ce code est applicable tant aux traitements automatisés qu’aux traitements manuels. Il appartient au magistrat instructeur saisi d’une plainte avec constitution de partie civile de s’assurer matériellement du mode de traitement des données en cause avant de rendre, s’il y a lieu, une ordonnance de refus d’informer.

Les articles 226-21 et 226-22 du code pénal, dans leur version actuellement en vigueur, sont issus de la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Ils répriment plusieurs formes de détournement de données à caractère personnel de la finalité de leurs traitements. Dans l’arrêt commenté, la chambre criminelle est venue clarifier leurs champs d’application respectifs.

À l’origine de cet arrêt, le 27 septembre 2024, Monsieur C.W. déposait une plainte avec constitution de partie civile entre les mains du doyen des juges d’instruction, des chefs de détournement de la finalité d’un traitement de données à caractère personnel et violation du secret professionnel. Il mettait en cause l’usage abusif par un fonctionnaire de police de ses données personnelles contenues dans le registre des mains courantes, selon lui, dans le fichier informatisé des mains courantes (traitement automatisé).

Le 16 octobre 2023, le magistrat instructeur rendait une ordonnance de refus d’informer, qui était par la suite confirmée par la chambre de l’instruction de la Cour d’appel de Pau. La partie civile s’est pourvue en cassation contre cette décision. Dans l’arrêt commenté, la chambre criminelle casse l’arrêt de la chambre de l’instruction pour insuffisance de motifs. Deux questions de droit se posaient : celle du champ matériel de l’infraction de détournement de données personnelles et celle de l’étendue de l’obligation d’instruire, en la matière, du magistrat instructeur.

Un champ d’application élargi pour la protection des données personnelles sensibles

Le traitement des données personnelles est défini par le règlement général sur la protection des données (RGPD – Règl. [UE] 2016/679 du Parl. UE et du Conseil du 27 avr. 2016) comme « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction » (RGPD, art. 4). Le traitement des données personnelles par les personnes qui y sont habilitées peut donc être manuel ou automatisé. Le traitement manuel des données implique une intervention directe d’opérateurs humains – il peut également se faire via des moyens informatiques. Le traitement automatisé s’appuie quant à lui sur des logiciels qui vont traiter les données.

Le code pénal réprime notamment, dans sa partie sur les atteintes aux droits de la personne résultant des fichiers ou des traitements informatiques, le détournement des données personnelles des finalités de leur traitement. À ce titre, plusieurs types de comportements sont incriminés. L’article 226-21 du code pénal réprime le fait, pour toute personne détentrice de données à caractère personnel, de détourner ces données de leurs finalités. L’apport majeur de l’arrêt commenté réside dans la précision de ce que cet article ne s’applique que lorsque les données en cause sont contenues dans un traitement automatisé. À l’opposé, l’article 226-22 du même code s’applique que les données soient contenues dans un traitement automatisé ou dans un traitement manuel. Ce n’est toutefois pas la seule différence de matérialité entre les deux infractions en cause. En effet, ce dernier article ne trouve à s’appliquer que lorsque la personne en cause, qui avait connaissance de données personnelles dont la divulgation aurait pour effet de porter atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée, a divulgué ces données à une personne tierce. Les données dont la divulgation est réprimée dans ce second texte sont donc des données plus sensibles.

Ces précisions s’agissant du champ d’application de ces infractions semblent constituer une évolution de la jurisprudence, assez peu abondante en la matière. En effet, en 1994, des juges du fond avaient considéré que le champ d’application des délits prévus à l’article 43 de la loi du 6 janvier 1978 – comprenant l’article 226-22 du code pénal – était limité aux traitements automatisés de données nominatives et ne concernait pas les informations contenues dans des fichiers manuels (Agen, 28 févr. 1994, JCP 1994. IV. 2209). Ce n’est pas la position adoptée par la chambre criminelle dans son arrêt du 13 janvier 2026. Cette évolution semble logique en ce que, puisque l’article 226-22 du code pénal concerne des données personnelles plus sensibles, leur niveau de protection doit s’en trouver renforcé. Par conséquent, le champ d’application de la répression de leur détournement est élargi.

Dans les faits de l’espèce, était en cause le traitement des données personnelles contenues dans le registre des mains courantes. Depuis un arrêté du 22 juin 2011, le traitement automatisé de ces données était autorisé. Les deux traitements cohabitaient. Le plaignant avait, dans sa plainte avec constitution de partie civile, dénoncé le détournement de ces données par un fonctionnaire de police. Le magistrat instructeur avait rendu une ordonnance de refus d’informer, motivée par le fait que les informations en cause étaient contenues dans un registre manuel, qui n’était pas concerné par les infractions en cause. La chambre criminelle, après avoir rappelé le champ d’application de ces textes d’incrimination, juge qu’il appartenait au magistrat instructeur – puis à la chambre de l’instruction – de s’assurer du type de traitement en cause, qui pouvait, en l’espèce, être tant manuel qu’automatisé.

Un rappel de l’obligation d’instruire et de l’étendue limitée de l’ordonnance de refus d’informer

La juridiction d’instruction régulièrement saisie d’une plainte avec constitution de partie civile a le devoir d’instruire sur les faits qu’elle contient. En vertu de l’article 86 du code de procédure pénale, cette obligation ne cesse que si, pour des causes affectant l’action publique elle-même, les faits ne peuvent comporter légalement une poursuite ou si, à supposer les faits démontrés, ils ne peuvent admettre aucune qualification pénale (Crim. 19 mars 2013, n° 12-81.676 FS-P+B, Dalloz actualité, 9 avr. 2013, obs. M. Léna ; D. 2013. 841 ; AJ pénal 2013. 415, obs. G. Royer ). L’ordonnance de refus d’informer est donc une possibilité exceptionnelle ouverte au magistrat instructeur dans des cas limitativement prévus à l’article 86, alinéa 4, du code de procédure pénale.

Par conséquent, il importe peu que le plaignant ait correctement qualifié les faits qu’il dénonce dans sa plainte avec constitution de partie civile. Le magistrat instructeur devra, en tout état de cause, rechercher si les faits dont il est saisi sont susceptibles de recevoir une quelconque qualification pénale. Ce n’est en effet pas le rôle du plaignant de qualifier pénalement les faits dont il se dit victime.

Par conséquent, lorsque le juge d’instruction rend une ordonnance de refus d’informer au motif de l’absence de qualification pénale applicable aux faits dénoncés, il doit préalablement s’être assuré d’avoir envisagé toutes les qualifications pénales. Partant, il lui est impossible de prendre une telle ordonnance à la suite d’un simple examen abstrait de la plainte. Il doit mettre en œuvre des mesures d’investigations pour vérifier si les faits dénoncés sont ou non infractionnels, avant même d’instruire leur caractérisation. En ce sens, la chambre criminelle avait cassé l’arrêt d’une chambre de l’instruction qui avait confirmé l’ordonnance de refus d’informer rendue par un juge d’instruction sur la plainte déposée, des chefs d’arrestation, séquestration illégale, détention arbitraire, abstention volontaire de mettre fin à une détention arbitraire, par des ressortissants français détenus sur la base de Guantanamo en décidant, par le seul examen abstrait de la plainte, sans rechercher, par une information préalable, si l’arrestation et les conditions de détention des plaignants, qu’elle devait analyser au regard, notamment, de la troisième Convention de Genève du 12 août 1949 et du Pacte international relatif aux droits civils et politiques du 19 décembre 1966, n’entraient pas dans les prévisions de l’article 224-1 du code pénal (Crim. 4 janv. 2005, n° 03-84.652 P, D. 2005. 523, et les obs. ; ibid. 1521, obs. G. Roujou de Boubée, M.-H. Gozzi, S. Mirabail et M. Segonds ; AJ pénal 2005. 158, obs. G. Roussel ; RSC 2005. 297, obs. G. Vermelle ).

S’agissant des infractions en cause dans l’arrêt commenté, la chambre criminelle tire les conséquences de son attendu de principe sur la délimitation de leurs champs matériels respectifs à l’office du magistrat instructeur – et de la chambre de l’instruction saisie d’un appel d’une ordonnance de refus d’informer. Elle juge qu’il appartenait au magistrat instructeur saisi des faits dénoncés par le plaignant de rechercher, par une information préalable, si les données personnelles en cause avaient fait l’objet d’un traitement automatisé, de sorte que les deux infractions étaient applicables, ou d’un traitement manuel, relevant du seul article 226-22 du code pénal. L’ordonnance de refus d’informer prise préalablement à ces vérifications était irrégulière et l’arrêt de la chambre de l’instruction la confirmant, dépourvu de motifs.

par Zoé Vandaële, Avocate au Barreau de Rennes

Crim. 13 janv. 2026, F-B, n° 25-80.474

Source