Un cabinet notarial a été sanctionné pour avoir communiqué à sa cliente une certification cadastrale contenant les données personnelles d'un tiers, l'autorité ayant jugé que cette divulgation était dépourvue de base légale.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre du cabinet notarial A.A.A. (comprenant le prononcé d'une amende de 2 000 €) pour des manquements en lien avec la communication illicite de données personnelles.

L'affaire trouve son origine dans la plainte d'une personne ayant reçu un courrier d'un tiers contenant une certification cadastrale la concernant, et s'interrogeant sur la manière dont ses données avaient été obtenues.

Motifs de la décision

• Obligation de licéité du traitement (article 6, paragraphe 1, du RGPD) : L'enquête a révélé que le cabinet notarial mis en cause avait obtenu, à la demande de sa cliente B.B.B., une certification cadastrale descriptive et graphique auprès de la Direction Générale du Cadastre. Ce document contenait des données personnelles protégées de la plaignante, notamment son nom, ses apellidos et son domicile. Le cabinet notarial a ensuite remis cette certification à sa cliente, qui s'en est servie pour contacter la plaignante. L'autorité a estimé que si le notaire pouvait légitimement accéder à ces données dans le cadre de ses fonctions, en vertu de la législation nationale (Real Decreto Legislativo 1/2004), leur communication à sa cliente constituait une opération de traitement distincte. Or, aucune base légale prévue à l'article 6, paragraphe 1, du RGPD ne justifiait cette divulgation, la finalité de préparation d'une éventuelle transaction immobilière n'autorisant pas la remise des données brutes au client.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 2 000 € à A.A.A.

En outre, l'autorité a ordonné à A.A.A. d'adopter, dans un délai de trois mois, les mesures nécessaires pour garantir la conformité de l'ensemble de ses opérations de traitement avec l'article 6, paragraphe 1, du RGPD et d'en apporter la preuve.

Enseignements

Cette décision rappelle que :

• Le fait de disposer d'un accès légitime à des données personnelles pour l'exercice d'une mission spécifique ne constitue pas en soi une base légale pour communiquer ces données à des tiers, y compris à son propre client.
• Les données obtenues dans un cadre professionnel réglementé, tel que l'accès au cadastre par un notaire, ne peuvent être utilisées que pour la finalité stricte ayant justifié cet accès et ne sauraient être remises à un client pour ses propres démarches.