L'autorité espagnole sanctionne une personne physique pour avoir divulgué des données personnelles de son locataire, relatives à une prétendue dette, à des tiers non autorisés en les envoyant par courriel à son lieu de travail, en violation du principe de confidentialité.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre d'une personne physique (comprenant le prononcé d'une amende de 200 €) pour des manquements en lien avec la divulgation non autorisée de données personnelles.

L'affaire trouve son origine dans une plainte déposée par une personne dont les données personnelles, relatives à une prétendue dette locative, ont été communiquées par son bailleur à son employeur et à ses collègues.

Motifs de la décision

• Obligation de garantir la confidentialité des données (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté que le responsable du traitement, dans le cadre d'un litige locatif, a envoyé un courriel aux lieux de travail du plaignant. Ce message contenait des données personnelles, des détails sur une prétendue dette et des accusations de comportement délictueux. En diffusant ces informations à des tiers non autorisés (l'employeur et les collègues du plaignant), le responsable du traitement a manqué à son obligation de garantir la confidentialité des données, en violation du principe qui impose de les protéger contre tout traitement non autorisé ou illicite.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 200 € à A.A.A. Le responsable du traitement a bénéficié d'une réduction de 20 % en procédant à un paiement volontaire, ramenant le montant final à 160 €.

Enseignements

Cette décision confirme / précise / rappelle que :

• La divulgation de données personnelles relatives à un litige civil, tel qu'un impayé de loyer, à des tiers non concernés comme l'employeur de la personne, constitue une violation du principe de confidentialité.
• Le traitement de données personnelles dans le cadre d'un contrat (par exemple, un bail) n'autorise pas leur communication à des tiers pour exercer une pression ou nuire à la réputation de la personne concernée.
• Les obligations du RGPD, notamment le respect de la confidentialité, s'appliquent également aux personnes physiques agissant en tant que responsables du traitement, y compris dans le cadre de relations contractuelles privées comme la location.
• La communication d'informations accusant une personne de comportement délictueux, même à un cercle restreint de destinataires, est considérée comme une atteinte grave à la confidentialité des données.