Contact

Accueil › Catégories › Droit pénal

Droit pénal

Bases de données de condamnations pénales accessibles contre paiement : ce que change l’l’arrêt de la CJUE du 9 juillet 2026 pour les opérateurs établis en France

juillet 26, 2026 0 commentaire

Droit du numérique et des données personnelles

La Cour de justice de l’Union européenne a jugé, le 9 juillet 2026, que la simple mise en ligne, contre paiement, de décisions de condamnation pénale ne relève pas des « fins journalistiques » au sens de l’article 85 du RGPD, faute de travail éditorial, de ligne éditoriale et de vérification déontologique des faits. Rendu à propos d’une base de données suédoise consultable par nom, l’arrêt resserre une dérogation que certains États avaient interprétée largement, et il rappelle qu’aucun État membre ne peut cantonner les personnes concernées à la seule action en diffamation. Sa portée pour les opérateurs établis en France doit toutefois être appréciée à l’aune d’un droit national déjà structurellement plus protecteur, où le casier judiciaire reste confidentiel et où l’open data des décisions de justice impose l’anonymisation des parties.

Sommaire

Une société suédoise exploite depuis plusieurs années une base de données permettant de rechercher, par nom, des personnes ayant fait l’objet de poursuites pénales devant les juridictions suédoises, et de consulter, contre paiement, les décisions de condamnation les concernant. Condamné en 2011, un particulier a demandé l’effacement de ses données de cette base ; l’effacement n’est intervenu que tardivement, sur le fondement de la seule politique interne de conservation de l’exploitant. Saisie d’un recours en dommages-intérêts, la juridiction suédoise a interrogé la Cour de justice de l’Union européenne sur la portée de l’article 85 du règlement (UE) 2016/679 (RGPD), qui autorise les États membres à concilier, par la loi, le droit à la protection des données personnelles avec la liberté d’expression et d’information — notamment lorsque le traitement est effectué à des « fins journalistiques ».

Deux notions méritent d’être précisées avant d’entrer dans l’analyse. Le traitement à des fins journalistiques, au sens de l’article 85 du RGPD, est une catégorie de traitement de données personnelles qui bénéficie de dérogations à plusieurs chapitres du règlement (principes, droits de la personne concernée, obligations du responsable de traitement, notamment), dès lors qu’il est nécessaire à la conciliation entre protection des données et liberté d’expression. La liberté d’expression et d’information, quant à elle, est garantie par l’article 11 de la Charte des droits fondamentaux de l’Union européenne et trouve, dans le RGPD, un point d’équilibre organisé par cet article 85.

La question de droit posée à la Cour était double : le droit suédois pouvait-il réserver à la seule action en diffamation les recours ouverts à une personne dont les données de condamnation sont publiées en ligne contre rémunération ? Et une telle activité peut-elle, en elle-même, être qualifiée de traitement à « fins journalistiques » ? La réponse de la Cour, rendue le 9 juillet 2026 dans l’affaire C-199/24, resserre sensiblement le périmètre de cette notion. Nous en présentons d’abord le contenu normatif (I), avant d’en mesurer la portée pour les opérateurs établis en France (II), puis d’identifier les points laissés en suspens (III).

I. Le cadre normatif applicable : la portée de l’arrêt du 9 juillet 2026

L’affaire trouve son origine dans le droit constitutionnel suédois de la liberté de la presse et de la liberté d’expression, qui organise une protection spécifique — le utgivningsbevis, ou certificat de protection constitutionnelle — pouvant couvrir certaines bases de données en ligne. Lorsque ce certificat est délivré, le droit suédois écarte l’application du RGPD et ne laisse à la personne concernée que la possibilité d’engager une action pénale ou civile en diffamation[1]. C’est cette architecture que la juridiction de renvoi, l’Attunda tingsrätt (tribunal de district d’Attunda), a soumise à la Cour à travers trois questions préjudicielles portant sur l’article 85 du RGPD.

Sur la première question, la Cour juge que l’article 85, paragraphe 1, du RGPD ne permet pas aux États membres d’adopter des dérogations allant au-delà de celles, strictement énumérées, que prévoit l’article 85, paragraphe 2, pour les seuls traitements effectués à des fins journalistiques ou d’expression universitaire, artistique ou littéraire. Une dérogation nationale ne peut donc pas s’étendre à des traitements poursuivant d’autres finalités, quand bien même l’État membre l’estimerait nécessaire à la conciliation des droits en présence[2].

Sur la deuxième question, la Cour juge que les voies de recours prévues par le chapitre VIII du RGPD — droit de réclamation devant une autorité de contrôle (article 77), droit à un recours juridictionnel effectif contre une autorité de contrôle (article 78) ou contre un responsable de traitement (article 79), droit à réparation (article 82) — ne figurent pas parmi les dispositions dérogeables au titre de l’article 85, paragraphe 2. Un État membre ne peut donc pas limiter une personne condamnée pénalement, dont les données sont mises en ligne contre paiement, à la seule action en diffamation : elle doit pouvoir exercer directement les recours que le RGPD lui garantit[3].

Sur la troisième question — la plus directement transposable au débat français — la Cour précise enfin la définition même des « fins journalistiques ». Reprenant sa jurisprudence antérieure selon laquelle la notion doit être interprétée largement et couvre les activités ayant pour objet la divulgation au public d’informations, d’opinions ou d’idées, quel que soit le support utilisé[4], la Cour ajoute une exigence de fond, inspirée de la jurisprudence de la Cour européenne des droits de l’homme relative à l’article 10 de la Convention : pour relever des « fins journalistiques », le traitement doit avoir pour objet la divulgation au public d’informations, d’opinions ou d’idées, dans le respect des règles déontologiques et des codes de conduite de la profession, après un travail de rédaction ou d’adaptation, ou, à tout le moins, conformément à une ligne éditoriale, et après vérification des allégations factuelles concernées[5]. Ni le caractère payant du service, ni le fait que les données portent sur des condamnations pénales, ne suffisent en soi à exclure la qualification journalistique — mais ils ne suffisent pas non plus à l’établir. En l’espèce, la Cour relève que la mise à disposition, contre paiement et sans adaptation ni ligne éditoriale apparente, de décisions de condamnation ne paraît pas satisfaire ces conditions, sous réserve de la vérification qu’il appartient à la juridiction suédoise d’opérer[6].

II. Portée pratique : conséquences pour les opérateurs établis en France

Il convient d’abord de mesurer une différence structurelle entre le contexte suédois de l’affaire et le droit français. En Suède, le principe constitutionnel de publicité des documents (offentlighetsprincipen) rend les décisions de justice pénale accessibles au public sous le nom des parties, ce qui a permis l’essor de bases de données commerciales de recherche par nom. En France, le casier judiciaire national n’est pas un document public : son accès est strictement encadré par les articles 774 à 777 du Code de procédure pénale, qui distinguent trois bulletins aux destinataires limitativement énumérés — le bulletin n° 1, réservé aux autorités judiciaires, le bulletin n° 2, délivré à certaines administrations et personnes morales limitativement énumérées à l’article 776[7], et le bulletin n° 3, remis à la seule personne concernée. Un service de recherche de condamnations par nom, ouvert au public contre paiement et alimenté directement par le casier judiciaire, n’a donc pas d’équivalent licite en droit français : la question posée par l’arrêt ne concerne pas, à titre principal, le casier judiciaire lui-même.

Le terrain sur lequel l’arrêt trouve à s’appliquer en France est celui, distinct, des décisions de justice rendues publiques et de leur réutilisation. Depuis la loi n° 2019-222 du 23 mars 2019 de programmation 2018-2022 et de réforme pour la justice, l’article L. 111-13 du Code de l’organisation judiciaire pose le principe de la mise à disposition du public, à titre gratuit, des décisions de justice sous forme électronique, mais impose que les nom et prénoms des personnes physiques, parties ou tiers, soient occultés avant leur diffusion, et que toute autre donnée d’identification le soit également lorsque sa divulgation est susceptible de porter atteinte à la sécurité ou à la vie privée des personnes concernées[8]. Ce même article interdit, en outre, toute réutilisation des données d’identité des magistrats et des membres du greffe ayant pour objet ou pour effet d’évaluer, analyser, comparer ou prédire leurs pratiques professionnelles réelles ou supposées[9]. Le régime français d’open data des décisions de justice est donc, par construction, moins permissif que le régime suédois de publicité intégrale : il neutralise en amont une grande partie du risque identifié par la Cour, puisque les bases de données de jurisprudence établies en France — qu’il s’agisse d’éditeurs juridiques, de plateformes de legaltech ou d’outils de justice prédictive — ne sont, en principe, pas censées permettre une recherche nominative de condamnations à partir des décisions ainsi diffusées.

Une clarification terminologique s’impose ici. Le service en cause dans l’affaire C-199/24, exploité par la société suédoise Legal Newsdesk Sweden AB (anciennement Garrapatica AB), est commercialisé sous le nom « Lexbase ». Cette dénomination ne doit pas être confondue avec l’éditeur juridique français Lexbase, dont les bases de données de jurisprudence et de doctrine sont largement utilisées par les praticiens français : il s’agit de deux entités distinctes, sans lien capitalistique ni éditorial connu, dont la coïncidence de nom résulte d’un choix commercial indépendant dans deux pays différents. Cette précision, qui ne figure dans aucune des sources consultées, nous paraît nécessaire pour éviter toute confusion préjudiciable dans la lecture de cet arrêt par un public français.

L’arrêt a néanmoins une incidence directe sur l’interprétation de l’exception française de l’article 67 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (loi Informatique et Libertés), qui écarte l’application de certaines dispositions de la loi pour les traitements mis en œuvre « aux seules fins […] d’exercice, à titre professionnel, de l’activité de journaliste, dans le respect des règles déontologiques de cette profession »[10]. Ce texte comporte une double restriction — l’exercice à titre professionnel, d’une part, le respect de règles déontologiques, d’autre part — dont la doctrine relève depuis plusieurs années la tension avec la jurisprudence de la Cour, laquelle refuse de limiter la notion de « journalisme » aux seuls professionnels[11]. L’arrêt du 9 juillet 2026 ne revient pas sur cette jurisprudence relative au « qui » (peu importe le statut professionnel), mais il vient consolider, sur le « quoi », une exigence de fond — travail éditorial, ligne éditoriale, vérification factuelle, déontologie — qui rejoint largement, sans s’y superposer exactement, la seconde branche de la restriction française. Pour un opérateur établi en France qui republierait des décisions de condamnation sans aucun travail rédactionnel, l’invocation de l’article 67 de la loi de 1978 paraît désormais plus fragile qu’auparavant, indépendamment même de la question, distincte, du statut professionnel de journaliste.

Concrètement, tout opérateur établi en France qui exploiterait, contre rémunération, un service de mise à disposition de décisions de condamnation pénale — qu’il s’agisse de sites de vérification d’antécédents, de plateformes de réputation commerciale ou de bases de données judiciaires insuffisamment éditorialisées — ne pourra plus se prévaloir de la dérogation journalistique de l’article 85 du RGPD ni de l’article 67 de la loi de 1978 par la seule circonstance qu’il diffuse des informations relatives à des procédures pénales. Il devra, à défaut, justifier d’un fondement légal explicite au sens de l’article 10 du RGPD, qui réserve le traitement de données relatives aux condamnations et infractions au contrôle de l’autorité publique ou à une autorisation prévue par le droit de l’Union ou le droit national assortie de garanties appropriées[12] — fondement dont on peut douter, en l’état du droit français, qu’il existe pour une activité purement commerciale de mise à disposition de décisions de condamnation.

III. Zones d’incertitude et perspectives

La Cour laisse au juge national le soin d’apprécier, au cas par cas, si un travail de rédaction, une ligne éditoriale ou une vérification factuelle suffisants existent dans chaque situation[13]. Le seuil précis à partir duquel une curation éditoriale devient suffisante — simple classement thématique, résumé automatisé, commentaire rédactionnel, sélection motivée des décisions publiées — n’est pas fixé par l’arrêt, ce qui laisse une marge d’insécurité juridique pour les éditeurs juridiques français dont l’activité comporte, à des degrés variables, un travail de mise en forme et d’indexation des décisions qu’ils diffusent.

L’articulation entre cet arrêt et le fondement légal exigé par l’article 10 du RGPD pour tout traitement de données relatives aux condamnations n’est pas non plus tranchée : la Cour ne s’est prononcée que sur la notion de « fins journalistiques », et non sur la question, distincte, de savoir sur quel fondement légal un opérateur pourrait, en dehors de toute finalité journalistique, traiter licitement de telles données. Cette question reste ouverte pour les bases de données de jurisprudence françaises qui, sans être des services de recherche de condamnations par nom compte tenu de l’anonymisation imposée par l’article L. 111-13 du Code de l’organisation judiciaire, publient néanmoins des décisions pénales dans leur intégralité.

Le ministère de la Justice a remis, en juillet 2025, un rapport sur l’évolution de l’open data des décisions de justice[14], dont les suites législatives ou réglementaires éventuelles pourraient être réexaminées à la lumière de cet arrêt, notamment quant au régime d’anonymisation applicable aux décisions pénales et à la réutilisation de données judiciaires par des opérateurs commerciaux. Il n’est, à la date de rédaction du présent article, pas possible d’anticiper le contenu d’une telle évolution.

Enfin, la portée du deuxième volet de l’arrêt — l’interdiction de cantonner une personne concernée à la seule action en diffamation — dépasse le cas suédois et vaut, par principe, pour tout État membre. Le droit français, qui ouvre déjà pleinement la plainte devant la CNIL et l’action judiciaire fondée sur le RGPD indépendamment de toute action en diffamation, n’a pas à modifier son architecture procédurale sur ce point ; l’arrêt sécurise néanmoins cette architecture pour l’avenir, en cas de tentative de restriction législative.

Ce qu’il faut retenir (en bref)

La mise en ligne payante et brute de condamnations pénales ne relève pas, en principe, des « fins journalistiques ». La Cour exige un travail éditorial ou, à tout le moins, une ligne éditoriale et une vérification déontologique des faits.

Les voies de recours du RGPD ne peuvent jamais être réduites à la seule action en diffamation. Tout État membre doit garantir l’accès aux recours prévus par les articles 77, 78, 79 et 82 du règlement, quelle que soit la dérogation nationale retenue pour la liberté d’expression.

Le droit français est structurellement moins exposé que le droit suédois. Le casier judiciaire y est confidentiel et l’open data des décisions de justice impose l’anonymisation des parties, ce qui limite en amont l’émergence d’un service comparable à celui jugé par la Cour — sans pour autant fermer tout débat sur les bases de données de jurisprudence insuffisamment éditorialisées.

Éléments clés à retenir

Recommandations pratiques

Pour les opérateurs établis en France qui exploitent des bases de données de jurisprudence, de vérification d’antécédents ou de réputation commerciale intégrant des décisions pénales, il paraît prudent de documenter précisément le travail éditorial réellement accompli sur chaque contenu diffusé — sélection motivée, résumé, indexation qualifiée, commentaire — plutôt que de se fonder sur une republication brute, et de vérifier l’existence d’un fondement légal autonome, distinct de l’exception journalistique, pour tout traitement portant sur des données de condamnation.

Pour les délégués à la protection des données de ces opérateurs, un audit de conformité au regard de l’article 10 du RGPD et de l’article 67 de la loi du 6 janvier 1978, tenant compte de cet arrêt, permettra d’anticiper une éventuelle contestation ou un contrôle de la CNIL.

Pour les personnes physiques dont les données de condamnation seraient publiées en ligne par un opérateur établi en France, l’arrêt confirme la possibilité d’exercer directement les droits que confère le RGPD — droit d’effacement, plainte auprès de la CNIL, action judiciaire en réparation — sans que ces voies puissent être subordonnées à l’exercice préalable d’une action en diffamation.

Ces recommandations restent de nature générale ; toute situation individuelle, notamment en cas de refus d’effacement ou de contestation d’une qualification journalistique par un opérateur, mérite l’analyse d’un avocat ou d’un professionnel du droit habilité.

Conclusion

L’arrêt du 9 juillet 2026 referme, pour l’ensemble de l’Union, une marge d’interprétation nationale que certains régimes de dérogation avaient élargie au point de neutraliser, pour des activités purement commerciales, la protection que le RGPD entend garantir aux personnes condamnées pénalement. Sa portée directe pour les opérateurs établis en France est atténuée par un droit national déjà structurellement protecteur — confidentialité du casier judiciaire, anonymisation des décisions de justice publiées — mais elle n’est pas nulle : elle invite les éditeurs de bases de données juridiques et les plateformes de vérification d’antécédents à documenter le caractère réellement éditorial de leur activité, sous peine de perdre le bénéfice de toute dérogation à la protection des données. Le juge suédois de renvoi devra désormais apprécier, à l’aune de cette grille, si Legal Newsdesk Sweden AB satisfait ces conditions ; les opérateurs français feraient bien d’anticiper une appréciation similaire avant qu’elle ne leur soit, le cas échéant, imposée par un contrôle de la CNIL ou par une décision de justice.

Regard critique

L’arrêt appelle deux observations. D’une part, en renvoyant au juge national l’appréciation du seuil de travail éditorial suffisant, la Cour ne dissipe qu’une partie de l’insécurité juridique : les éditeurs juridiques établis en France, dont l’activité de curation varie sensiblement d’un service à l’autre, ne disposent pas d’une grille d’analyse totalement prévisible pour évaluer leur propre exposition. D’autre part, la Cour ne se prononce pas sur le fondement légal, distinct de l’exception journalistique, qui pourrait justifier le traitement de données de condamnation par des opérateurs commerciaux poursuivant d’autres finalités légitimes — par exemple des services de compliance ou de lutte contre la fraude ; cette question, qui touche à l’article 10 du RGPD, reste ouverte et pourrait faire l’objet d’un contentieux ultérieur, y compris en France.

Bibliographie et sources

Jurisprudence

Textes officiels

Presse juridique et doctrine

Avertissement : Le présent article est fourni à titre d’information générale et ne saurait constituer un avis juridique personnalisé. Il est recommandé à toute personne ou tout opérateur confronté à une situation particulière de consulter un professionnel du droit habilité.

Date de rédaction : 26 juillet 2026. Auteur : Equipe de rédaction Esprit Juridique, sous la direction de Me Ernson THOMAS

Laisser un commentaire

Réagir à cet article

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *