Sont insérées après l'article R. 625-9 du code pénal (deuxième partie : Décrets en Conseil d'Etat) les dispositions suivantes :

« Section VI

« Des atteintes aux droits de la personne résultant des fichiers
ou des traitements informatiques

« Art. R. 625-10. - Lorsque cette information est exigée par la loi, est puni de l'amende prévue pour les contraventions de la cinquième classe le fait, pour le responsable d'un traitement automatisé de données à caractère personnel :
« 1° De ne pas informer la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant :
« a) De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
« b) De la finalité poursuivie par le traitement auquel les données sont destinées ;
« c) Du caractère obligatoire ou facultatif des réponses ;
« d) Des conséquences éventuelles, à son égard, d'un défaut de réponse ;
« e) Des destinataires ou catégories de destinataires des données ;
« f) De ses droits d'opposition, d'interrogation, d'accès et de rectification ;
« g) Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne ;
« 2° Lorsque les données sont recueillies par voie de questionnaire, de ne pas porter sur le questionnaire les informations relatives :
« a) A l'identité du responsable du traitement et, le cas échéant, à celle de son représentant ;
« b) A la finalité poursuivie par le traitement auquel les données sont destinées ;
« c) Au caractère obligatoire ou facultatif des réponses ;
« d) Aux droits d'opposition, d'interrogation, d'accès et de rectification des personnes auprès desquelles sont recueillies les données ;
« 3° De ne pas informer de manière claire et précise toute personne utilisatrice des réseaux de communications électroniques :
« a) De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations stockées dans son équipement terminal de connexion ou à inscrire, par la même voie, des informations dans son équipement terminal de connexion ;
« b) Des moyens dont elle dispose pour s'y opposer ;
« 4° De ne pas fournir à la personne concernée, lorsque les données à caractère personnel n'ont pas été recueillies auprès d'elle, les informations énumérées au 1° et au 2° dès l'enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données.
« Art. R. 625-11. - Est puni de l'amende prévue pour les contraventions de la cinquième classe le fait, pour le responsable d'un traitement automatisé de données à caractère personnel, de ne pas répondre aux demandes d'une personne physique justifiant de son identité qui ont pour objet :
« 1° La confirmation que des données à caractère personnel la concernant font ou ne font pas l'objet de ce traitement ;
« 2° Les informations relatives aux finalités du traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées ;
« 3° Le cas échéant, les informations relatives aux transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne ;
« 4° La communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l'origine de celles-ci ;
« 5° Les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l'égard de l'intéressé.
« Est puni de la même peine le fait de refuser de délivrer, à la demande de l'intéressé, une copie des données à caractère personnel le concernant, le cas échéant, contre paiement d'une somme qui ne peut excéder le coût de la reproduction.
« Les contraventions prévues par le présent article ne sont toutefois pas constituées si le refus de réponse est autorisé par la loi soit afin de ne pas porter atteinte au droit d'auteur, soit parce qu'il s'agit de demandes manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique, soit parce que les données à caractère personnel sont conservées sous une forme excluant manifestement tout risque d'atteinte à la vie privée des personnes concernées et pendant une durée n'excédant pas celle nécessaire aux seules finalités d'établissement de statistiques ou de recherche scientifique ou historique.
« Art. R. 625-12. - Est puni de l'amende prévue pour les contraventions de la cinquième classe le fait, pour le responsable d'un traitement automatisé de données à caractère personnel, de ne pas procéder, sans frais pour le demandeur, aux opérations demandées par une personne physique justifiant de son identité et qui exige que soient rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant ou concernant la personne décédée dont elle est l'héritière, lorsque ces données sont inexactes, incomplètes, équivoques, périmées, ou lorsque leur collecte, leur utilisation, leur communication ou leur conservation est interdite.
« Art. R. 625-13. - Les personnes morales peuvent être déclarées responsables pénalement, dans les conditions prévues par l'article 121-2, des contraventions prévues par la présente section.
« La récidive des contraventions prévues par la présente section est réprimée conformément aux articles 132-11 et 132-15. »

Décret n°2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés

Article 90