Faut-il faire une nouvelle déclaration à la CNIL lorsqu’on met à jour un logiciel ?

Le responsable d’un traitement de données à caractère personnel qui adresse une déclaration, une demande d’autorisation ou une demande d’avis à la CNIL, a l’obligation de fournir un certain nombre de renseignements sur le traitement qu’il entend mettre en œuvre. En application de l’article 30 II de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, le responsable d’un traitement déjà déclaré, ou déjà autorisé, doit informer sans délai la CNIL de tout changement affectant les renseignements précédemment fournis.

La question s’est posée de savoir si une simple mise à jour du logiciel de traitement des données à caractère personnel entraîne l’obligation pour le responsable dudit traitement de procéder à une nouvelle déclaration. La chambre sociale de la Cour de cassation dans un récent arrêt du 23 avril 2013 a répondu par la négative et a posé le principe selon lequel « seule une modification substantielle portant sur les informations ayant été préalablement déclarées doit être portée à la connaissance de la CNIL ».

Les juges suprêmes visent notamment par là les modifications significatives apportées à la finalité ou aux fonctionnalités du traitement, aux données à caractère personnel enregistrées dans le traitement, à leur durée de conservation, aux destinataires de ces données, aux transferts de données hors de l’Union européenne ou aux modalités d’exercice du droit d’accès des personnes dont les données sont enregistrées dans le traitement.