L'autorité roumaine de protection des données a sanctionné un chauffeur VTC pour avoir publié sur un réseau social les données personnelles d'un client, incluant sa pièce d'identité et des informations sur sa course, en l'absence de toute base légale.

Faits et contexte

L'Autorité nationale de surveillance du traitement des données à caractère personnel (ANSPDCP) roumaine a publié une décision de sanction à l'encontre d'une personne physique autorisée, comprenant le prononcé d'une amende de 1 000 €, pour des manquements en lien avec la base légale du traitement.

L'affaire trouve son origine dans une plainte dénonçant la publication par un chauffeur collaborateur d'une plateforme de transport alternatif des données personnelles d'un client sur un réseau social.

Motifs de la décision

• Obligation de licéité du traitement (article 6 du RGPD) : L'autorité a constaté que le chauffeur, agissant en qualité de responsable du traitement dans le cadre de ses fonctions, avait divulgué sur une plateforme de réseau social de nombreuses données personnelles d'un client. Ces données incluaient son nom, son prénom, la série et le numéro de sa carte d'identité, son image, ainsi que des informations sur la course effectuée et ses localisations approximatives. L'autorité a conclu que cette publication avait été réalisée sans le consentement de la personne concernée et en l'absence de toute autre base légale prévue à l'article 6, paragraphe 1, du RGPD, caractérisant ainsi un manquement à l'obligation de licéité.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 1 000 € (soit 5 265 lei) à la personne physique autorisée.

Enseignements

Cette décision rappelle que :

• Un prestataire de services individuel, tel qu'un chauffeur VTC, agit en tant que responsable du traitement et est personnellement redevable du respect du RGPD lorsqu'il traite les données de ses clients en dehors du cadre défini par la plateforme pour laquelle il opère.
• La publication de données personnelles sur un réseau social constitue une opération de traitement à part entière qui doit reposer sur une base légale spécifique et valide au sens de l'article 6 du RGPD.
• L'existence d'une relation contractuelle avec un client ne saurait justifier, à elle seule, la divulgation publique des données de ce dernier, une telle finalité étant incompatible avec l'exécution du contrat de service initial.