Code pénal

###### Article 226-3

Est puni de cinq ans d'emprisonnement et de 300 000 € d'amende :

1° La fabrication, l'importation, la détention, l'exposition, l'offre, la location ou la vente d'appareils ou de dispositifs techniques de nature à permettre la réalisation d'opérations pouvant constituer l'infraction prévue par le second alinéa de l'article 226-15 ou qui, conçus pour la détection à distance des conversations, permettent de réaliser l'infraction prévue par l'article 226-1 ou ayant pour objet la captation de données informatiques prévue aux articles 706-102-1

 et 706-102-2

 du code de procédure pénale et L. 853-2 du code de la sécurité intérieure et figurant sur une liste dressée dans des conditions fixées par décret en Conseil d'Etat, lorsque ces faits sont commis, y compris par négligence, en l'absence d'autorisation ministérielle dont les conditions d'octroi sont fixées par ce même décret ou sans respecter les conditions fixées par cette autorisation ;

2° Le fait de réaliser une publicité en faveur d'un appareil ou d'un dispositif technique susceptible de permettre la réalisation des infractions prévues par l'article 226-1 et le second alinéa de l'article 226-15 lorsque cette publicité constitue une incitation à commettre cette infraction ou ayant pour objet la captation de données informatiques prévue aux articles 706-102-1 

et 706-102-2 

du code de procédure pénale et L. 853-2 du code de la sécurité intérieure lorsque cette publicité constitue une incitation à en faire un usage frauduleux.

###### Article 226-16

Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu'aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende.

Est puni des mêmes peines le fait, y compris par négligence, de procéder ou de faire procéder à un traitement qui a fait l'objet de l'une des mesures prévues au 3° du III de l'article 

45

20

 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

###### Article 226-17

Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites 

à

aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de

 l'article 

34

4 et aux articles 99 à 101

 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende.

###### Article 226-17-1

Le fait pour un fournisseur de services de communications électroniques

 ou pour un responsable de traitement

 de ne pas procéder à la notification d'une violation de données à caractère personnel à la Commission nationale de l'informatique et des libertés ou à l'intéressé, en méconnaissance des 

articles 33 et 34 du règlement (UE) 2016/679 du 27 avril 2016 précité ou des 

dispositions du II de l'article 

34 bis

83 et de l'article 102

 de la loi n° 78-17 du 6 janvier 1978, est puni de cinq ans d'emprisonnement et de 300 000 € d'amende.

###### Article 226-19

Le fait, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée, sans le consentement exprès de l'intéressé, des données à caractère personnel qui, directement ou indirectement, font apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, ou les appartenances syndicales des personnes, ou qui sont relatives à la santé ou à l'orientation sexuelle ou à l'identité de genre de celles-ci, est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende.

Est puni des mêmes peines le fait, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée des données à caractère personnel concernant des infractions, des condamnations ou des mesures de sûreté.

###### Article 226-22-1

Le fait de procéder ou de faire procéder à un transfert de données à caractère personnel faisant l'objet ou destinées à faire l'objet d'un traitement vers un Etat n'appartenant pas à l'Union européenne ou à une organisation internationale en violation du chapitre V du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/ CE, ou des articles 

70-25 à 70-27

112 à 114

 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende.

###### Article 226-22-2

Dans les cas prévus aux articles 226-16 à 226-22-1, l'effacement de tout ou partie des données à caractère personnel faisant l'objet du traitement ayant donné lieu à l'infraction peut être ordonné. Les membres et les agents

Est puni d'un an d'emprisonnement et de 15 000 € d'amende le fait d'entraver l'action

 de la Commission nationale de l'informatique et des libertés 

sont

:

1° Soit en s'opposant à l'exercice des missions confiées à ses membres ou aux agents

 habilités 

à constater l'effacement de ces données.

en application du dernier alinéa de l'article 10 de la loi n° 78-17 du 6 janvier 1978 précitée lorsque la visite a été autorisée par le juge ;

###### Article 226-23

Les dispositions de l'article 226-19 sont applicables aux traitements non automatisés de

Dans les cas prévus aux articles 226-16 à 226-22-2, l'effacement de tout ou partie des

 données à caractère personnel 

dont la mise en oeuvre ne se limite pas à l'exercice d'activités exclusivement personnelles.

faisant l'objet du traitement ayant donné lieu à l'infraction peut être ordonné. Les membres et les agents de la Commission nationale de l'informatique et des libertés sont habilités à constater l'effacement de ces données.

##### Article 711-1

Sous réserve des adaptations prévues au présent titre, les livres Ier à V 

du présent code 

sont applicables, dans leur rédaction résultant de la 

l'ordonnance n° 2018-1125 du 12 décembre 2018 prise en application de l'article 32 de la 

loi n° 

2019-290 du 10 avril 2019 visant à renforcer et garantir le maintien de l'ordre public lors des manifestations

2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel

, en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna.

###### Article R625-10

Lorsque cette information est exigée par la loi, est puni de l'amende prévue pour les contraventions de la 5e classe le fait, pour le responsable d'un traitement automatisé de données à caractère personnel :

1° De ne pas informer la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant :

a) De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ;

b) De la finalité poursuivie par le traitement auquel les données sont destinées ;

c) Du caractère obligatoire ou facultatif des réponses ;

d) Des conséquences éventuelles, à son égard, d'un défaut de réponse ;

e) Des destinataires ou catégories de destinataires des données ;

f) De ses droits d'opposition, d'interrogation, d'accès et de rectification ;

g) Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat n'appartenant pas à l'Union européenne ;

2° Lorsque les données sont recueillies par voie de questionnaire, de ne pas porter sur le questionnaire les informations relatives :

a) A l'identité du responsable du traitement et, le cas échéant, à celle de son représentant ;

b) A la finalité poursuivie par le traitement auquel les données sont destinées ;

c) Au caractère obligatoire ou facultatif des réponses ;

d) Aux droits d'opposition, d'interrogation, d'accès et de rectification des personnes auprès desquelles sont recueillies les données ;

3° De ne pas informer de manière claire et précise toute personne utilisatrice des réseaux de communications électroniques :

a) De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations stockées dans son équipement terminal de connexion ou à inscrire, par la même voie, des informations dans son équipement terminal de connexion ;

b) Des moyens dont elle dispose pour s'y opposer ;

4° De ne pas fournir à la personne concernée, lorsque les données à caractère personnel n'ont pas été recueillies auprès d'elle, les informations énumérées au 1° et au 2° dès l'enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données.

Est puni de la même peine le fait de ne pas fournir l'une des informations mentionnées 

au I de

à

 l'article 

70-18

104

 de la loi n°

78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ou aux articles 13 et 14 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016.

###### Article R625-11

Est puni de l'amende prévue pour les contraventions de la 5e classe le fait, pour le responsable d'un traitement automatisé de données à caractère personnel, de ne pas répondre aux demandes d'une personne physique justifiant de son identité qui ont pour objet :

1° La confirmation que des données à caractère personnel la concernant font ou ne font pas l'objet de ce traitement ;

2° Les informations relatives aux finalités du traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées ;

3° Le cas échéant, les informations relatives aux transferts de données à caractère personnel envisagés à destination d'un Etat n'appartenant pas à l'Union européenne ;

4° La communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l'origine de celles-ci ;

5° Les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l'égard de l'intéressé.

Est puni de la même peine le fait de refuser de délivrer, à la demande de l'intéressé, une copie des données à caractère personnel le concernant, le cas échéant, contre paiement d'une somme qui ne peut excéder le coût de la reproduction.

Est puni de la même peine le fait de ne pas répondre aux demandes tendant à la mise en œuvre des droits prévus à l'article 15 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ou, hors les cas prévus à l'article 

70-21

107

 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, 

au II de

à

 l'article 

70-18

104

 et à l'article 

70-19

105

 de cette même loi.

Les contraventions prévues par le présent article ne sont toutefois pas constituées si le refus de réponse est autorisé par la loi soit afin de ne pas porter atteinte au droit d'auteur, soit parce qu'il s'agit de demandes manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique, soit parce que les données à caractère personnel sont conservées sous une forme excluant manifestement tout risque d'atteinte à la vie privée des personnes concernées et pendant une durée n'excédant pas celle nécessaire aux seules finalités d'établissement de statistiques ou de recherche scientifique ou historique.

###### Article R625-12

Est puni de l'amende prévue pour les contraventions de la 5e classe le fait, pour le responsable d'un traitement automatisé de données à caractère personnel, de ne pas procéder, sans frais pour le demandeur, aux opérations demandées par une personne physique justifiant de son identité et qui exige que soient rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant ou concernant la personne décédée dont elle est l'héritière, lorsque ces données sont inexactes, incomplètes, équivoques, périmées, ou lorsque leur collecte, leur utilisation, leur communication ou leur conservation est interdite.

Est puni de la même peine le fait de ne pas procéder aux opérations exigées par les articles 16 à 18 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, ou, hors les cas prévus à l'article 

70-21

107

 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, par l'article 

70-20

106

 de cette même loi.

##### Article R711-1

Sous réserve des adaptations prévues au présent titre, les livres Ier à VI de la deuxième partie du présent code (Décrets en Conseil d'Etat), à l'exception des articles R. 321-1 à R. 321-12, R. 633-1 à R. 633-5,

R. 635-3 à R. 635-7 et R. 645-6, sont applicables en Nouvelle-Calédonie et dans les territoires de la Polynésie française et des îles Wallis et Futuna dans leur rédaction résultant du décret n° 2019-

208 du 20 mars

536 du 29 mai

 2019.