## Synthèse doctrinale Par le jugement n° 201/2017 du 19 janvier 2017, le Tribunal d'arrondissement de Luxembourg, chambre correctionnelle, condamne une fonctionnaire de la Caisse nationale de santé (CNS) ayant consulté, à des fins strictement privées, les bases de données de l'établissement pour fournir des renseignements sur des tiers, parmi lesquels des membres de sa famille et son ancien compagnon. La décision est remarquable par la cumulation des qualifications retenues : violation du secret professionnel (article 458 du Code pénal), accès frauduleux à un système de traitement automatisé de données (article 509-1), ainsi que plusieurs manquements à la loi du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. Le tribunal y affirme qu'un agent habilité à accéder à un système pour l'exécution de ses fonctions se maintient frauduleusement dans ce système lorsqu'il l'utilise à des fins étrangères à ses missions, et il écarte l'argument tiré du consentement supposé des personnes concernées, dès lors que les demandes alléguées ne fondaient pas un traitement licite au regard de l'article 5 de la loi de 2002. Le jugement est ainsi un utile point de repère sur l'articulation entre droit pénal de la vie privée, secret professionnel et protection des données. ## I. Faits et procédure La prévenue, fonctionnaire de la Caisse nationale de santé, est poursuivie à la suite d'une citation du 21 novembre 2016, faisant suite à une ordonnance de renvoi de la chambre du conseil du 29 juin 2016. Les faits, en substance, consistent dans la consultation, les 17 et 20 novembre 2014, de bases de données de la CNS portant sur plusieurs personnes : A.), X.1.), X.2.) et X.3.). Les recherches relatives à A.) ont été effectuées à la demande d'un tiers, E.), qui agissait pour le compte d'un créancier cherchant à recouvrer une dette de 400 euros, et les renseignements (adresse, employeur) ont été communiqués à E.) lors d'un entretien téléphonique. S'agissant de la famille X.), la prévenue a soutenu que les recherches avaient été effectuées à la demande des personnes concernées ou de l'un de leurs membres. Deux attestations testimoniales, établies par D.) et par X.1.), ont été versées au dossier et confirment, selon leurs auteurs, l'existence d'une demande personnelle. La prévenue a reconnu les faits matériels, admis avoir commis une erreur et invoqué une situation familiale difficile, ainsi que sa dénonciation spontanée auprès de la CNS et une sanction disciplinaire déjà subie. La partie civile, la CNS, s'est constituée contre la prévenue. Le ministère public a requis la condamnation sur l'ensemble des préventions. ## II. Problème de droit et motifs de la décision **Premier problème : la violation du secret professionnel.** Le tribunal rappelle les trois éléments constitutifs de l'infraction de l'article 458 du Code pénal : la qualité de dépositaire du secret par état ou profession, la révélation libre hors les cas autorisés par la loi, et l'intention coupable. Il retient que le fonctionnaire de la CNS est, de manière générale, dépositaire par profession des données relatives à l'état civil et à la santé des assurés. Quant à la révélation, il qualifie de confidentielles, de par leur nature, les données personnelles des assurés faisant l'objet de dispositions spécifiques de protection. Le dol simple suffit, la communication volontaire à E.) d'une adresse et d'un employeur en étant l'illustration. **Deuxième problème : l'accès frauduleux au système (article 509-1 du Code pénal).** La question centrale est celle de savoir si une personne autorisée à accéder à un système peut être regardée comme y accédant frauduleusement. Le tribunal répond par l'affirmative en distinguant l'accès et le maintien : l'élément matériel est constitué dès lors que l'auteur accède ou se maintient dans le système. Une autorisation d'accès, même conditionnelle, n'implique pas que le maintien soit régulier lorsque l'utilisateur effectue des opérations non autorisées. La prévenue, « certes autorisée à accéder aux bases de données [...] pour exécuter des tâches relevant de ses missions », y a effectué des recherches privées, ce qui caractérise le caractère frauduleux. **Troisième problème : la licéité du traitement au regard de la loi du 2 août 2002.** Le tribunal retient la violation de l'article 4, paragraphe 1er, a) et paragraphe 3 (finalité incompatible), et de l'article 5, paragraphes 1er et 2 (absence de base de licéité). Il relève que la consultation entre dans la notion de traitement, et que le champ d'application de la loi est très large. Il juge que le traitement n'entre dans aucune des hypothèses de l'article 5, paragraphe 1er, a) à f). L'