Les traitements des données à caractère personnel obéissent à des formalités strictes, dont le non-respect est sanctionné par le code pénal. Le traitement informatique de données personnelles qui présentent des risques particuliers d'atteinte aux droits et aux libertés doit, avant sa mise en oeuvre, être soumis à l'autorisation de la CNIL. Ainsi, le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans respect des formalités préalables à leur mise en oeuvre est sanctionnée de cinq ans d'emprisonnement et de 300 000 € d'amende par l'article 226-16 du code pénal. Il s'agit d'une infraction matérielle constituée indépendamment de toute intention délictueuse. La dénonciation de tels faits, en cas de violation de la loi informatique et libertés, peut être effectuée à la CNIL, autorité administrative indépendante qui en apprécie librement les suites à donner, ou aux autorités judiciaires. La direction des affaires criminelles et des grâces n'a pas été avisée de l'ouverture d'une procédure judiciaire pour les faits mentionnés.