« Seule une modification substantielle portant sur les informations ayant été préalablement déclarées doit être portée à la connaissance de la CNIL ; […] une simple mise à jour d’un logiciel de traitement de données à caractère personnel n’entraîne pas l’obligation pour le responsable du traitement de procéder à une nouvelle déclaration », a rappelé la Cour de cassation dans un arrêt du 23 avril 2013. Elle a donc cassé et annulé la décision de la cour d’appel d’Aix-en-Provence qui n’a pas recherché si le changement de version du logiciel concerné consistait en une simple mise à jour qui ne nécessiterait pas une nouvelle déclaration auprès de la Commission nationale de l’informatique et des libertés.

Cette affaire concerne un animateur socio-éducatif qui avait été licencié pour faute grave en raison de son insubordination. Il avait refusé de saisir les données à caractère personnel concernant des mineurs bénéficiant d’actions de prévention. Il avait invoqué le fait que le traitement en question n’était pas conforme à la réglementation pour refuser de se soumettre à un ordre qu’il jugeait illicite. Lors du passage de la version 3 à 4 du logiciel EVA, des données nominatives devaient être saisies. Certes le patronyme ne devait plus apparaître, mais ses trois premières lettres et l’adresse de la personne. Toutefois selon la cour d’appel l’employeur ne pouvait pas garantir que seules les données anonymisées étaient enregistrées. Elle avait donc estimé que ce dernier ne pouvait arguer du codage des données pour ne pas déclarer à la Cnil la modification du traitement. Pour la Cour de cassation, la cour d’appel qui a jugé que le licenciement manquait de cause réelle et sérieuse n’a pas donné de base légale à sa décision, en ne recherchant pas la nature de la modification du traitement.