Synthèse doctrinale. Le jugement rendu le 14 janvier 2016 par le Tribunal d'arrondissement de Luxembourg, chambre correctionnelle, illustre la répression des consultations privées de fichiers de police par un agent administratif, au regard de deux régimes : la loi du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel et l'article 509-1 du Code pénal, relatif au maintien frauduleux dans un système de traitement automatisé de données. Le tribunal opère un tri rigoureux : il acquitte la prévenue de la qualité de responsable du traitement, écarte la protection des personnes morales, neutralise l'incrimination de l'article 17 faute de contrariété à un règlement grand-ducal existant, et retient le consentement implicite pour les recherches portant sur ses propres véhicules. En revanche, il retient l'infraction de maintien frauduleux, le caractère sensible des fichiers et la nature privée des recherches rendant inopérante l'absence d'information explicite de la salariée. La décision met ainsi en lumière la distinction entre accès légitime initial et maintien frauduleux, et la portée de l'exigence de finalité professionnelle dans l'usage des bases de données publiques. ## I. Faits et procédure Une employée privée du secrétariat de la Police grand-ducale, disposant d'un code d'accès, est poursuivie à la suite d'un contrôle effectué le 20 août 2013 dans un établissement de nuit. Une associée de son père, dans une société exploitant des établissements de type « bar à champagne », a déclaré soupçonner celui-ci de détournements de fonds et a indiqué que la prévenue se vantait d'être informée des enquêtes policières. Les vérifications des journaux de connexion ont révélé des consultations, entre 2010 et 2014, de la base MULTIPOL (recherches sur des plaques d'immatriculation, sur le nom d'une société et sur celui de son père) et du Journal des Incidents (JDI), au moyen de mots-clés désignant notamment son père, les établissements concernés, les associés et une société. L'enquête n'a pas établi de transmission de ces informations à des tiers. La prévenue a reconnu avoir agi par inquiétude familiale ou par curiosité, tout en admettant qu'elle n'aurait pas dû procéder à ces recherches. Le Ministère public a cité la prévenue devant le tribunal correctionnel pour infractions à la loi du 2 août 2002 et à l'article 509-1 du Code pénal. Le jugement est rendu après audition de l'enquêteur, de la prévenue, de son mandataire et des réquisitions du parquet. ## II. Problème de droit et motifs de la décision **Premier problème : la qualification de donnée à caractère personnel et la protection des personnes morales.** Le tribunal rappelle que la notion de donnée à caractère personnel, au sens de l'article 2 de la loi de 2002, couvre toute information concernant une personne physique identifiée ou identifiable, y compris l'immatriculation d'un véhicule ou l'existence d'une inscription policière. En revanche, la loi ne protège pas les personnes morales : les données relatives à la société et aux établissements visés sont exclues de l'incrimination, ce qui conduit à un acquittement partiel. **Deuxième problème : la notion de traitement.** Le tribunal retient que la simple interrogation d'une base informatisée constitue une « consultation » et donc un traitement au sens de l'article 2, peu important que la recherche n'ait produit aucun résultat, dès lors que l'opération a été lancée et que son résultat a été affiché. **Troisième problème : la qualité de responsable du traitement.** L'article 4 de la loi vise « quiconque », mais les obligations sanctionnées sont celles du responsable du traitement, défini par l'article 2 comme celui qui détermine les finalités et les moyens du traitement. Le règlement grand-ducal du 2 octobre 1992 confie la gestion de la base à l'État et son exploitation à l'autorité de la Police. La prévenue, simple secrétaire exécutante sans influence sur la finalité ou la structure des fichiers, ne peut être regardée comme responsable du traitement. Elle est acquittée sur ce fondement. **Quatrième problème : l'article 17.** L'article 17 (3) incrimine le traitement privé de données relevant de la sûreté, lorsqu'il est effectué en violation d'un règlement grand-ducal. Le tribunal constate que la base consultée a précisément fait l'objet d'un tel règlement : l'infraction n'est pas caractérisée, et la prévenue est acquittée de ce chef. **Cinquième problème : la légitimité du traitement au regard de l'article 5.** Pour les recherches portant sur les véhicules de la prévenue, le tribunal retient que le traitement ne pouvait porter que sur des données la concernant ; la personne concernée ayant nécessairement consenti en effectuant la recherche, l'hypothèse (f) est réalisée et l'acquittement est prononcé. Pour les autres recherches, aucun consentement des tiers conc