Traitement illicite de données sensibles (préférences sexuelles), manquement à l'obligation de transparence et absence de mesures de vérification de l'âge sur un site internet destiné aux adultes.

Faits et contexte

L'Agence Espagnole de Protection des Données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de A.A.A. (comprenant le prononcé d'une amende de 20 000 €) pour des manquements en lien avec le traitement de données à caractère personnel sur un site internet destiné aux adultes.
L'affaire trouve son origine dans une plainte déposée le 30 novembre 2023, relative à des défaillances dans les mentions légales et la politique de confidentialité d'un site internet accessible aux mineurs.

Motifs de la décision

• Obligation de ne pas traiter des catégories particulières de données (article 9 du RGPD) : L'autorité a constaté que le site internet permettait aux utilisateurs de rechercher des annonces en utilisant un filtre de « préférences sexuelles ». Elle a considéré que cette fonctionnalité constituait un traitement de données relatives à la vie sexuelle ou à l'orientation sexuelle des personnes, qui sont des catégories particulières de données au sens de l'article 9 du RGPD. Le traitement de telles données est en principe interdit, et l'autorité a relevé qu'aucune des exceptions prévues à l'article 9, paragraphe 2 du RGPD ne s'appliquait en l'espèce, ni n'avait été envisagée par le responsable du traitement.
• Obligation de fournir des informations aux personnes concernées (article 13 du RGPD) : L'enquête a démontré que ni le processus d'inscription sur le site, ni les mentions légales ne contenaient les informations requises par le RGPD. En particulier, l'identité du responsable du traitement, les finalités du traitement et les droits des personnes concernées n'étaient pas mentionnés. Ce défaut de transparence empêchait les utilisateurs d'exercer valablement leurs droits.
• Obligation de garantir la sécurité du traitement (article 32 du RGPD) : Le site internet, qui proposait des contenus et services réservés aux adultes tels que des annonces de prostitution, ne disposait pas de mécanisme de vérification de l'âge efficace. Initialement, un simple avis déclaratif était présent, mais il a ensuite été supprimé, permettant une navigation libre sans aucun contrôle. L'autorité a estimé que cette absence de mesures techniques et organisationnelles appropriées constituait une violation de l'article 32 du RGPD, en particulier au regard de la protection des mineurs, considérés comme un public vulnérable selon les considérants 38 et 75 du RGPD.
• Obligation de garantir la licéité du traitement (article 6 du RGPD) : Conséquence des manquements précédents, notamment la violation de l'interdiction de traiter des données sensibles et l'absence d'information, l'autorité a conclu que le traitement des données des utilisateurs ne reposait sur aucune base légale valide au sens de l'article 6, paragraphe 1 du RGPD.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 20 000 € à A.A.A., se décomposant comme suit : 6 000 € pour la violation de l'article 9, 4 000 € pour la violation de l'article 13, 5 000 € pour la violation de l'article 32 et 5 000 € pour la violation de l'article 6, paragraphe 1 du RGPD.
En outre, l'autorité a ordonné au responsable du traitement d'adopter, dans un délai de trois mois, les mesures nécessaires pour mettre ses opérations de traitement en conformité avec les articles 6, paragraphe 1, 9, 13 et 32 du RGPD.

Enseignements

Cette décision rappelle que :

• Un simple mécanisme déclaratif de vérification de l'âge, ou son absence totale, sur un site dont le contenu est réservé aux adultes, constitue un manquement à l'obligation de mettre en œuvre des mesures de sécurité appropriées (article 32 du RGPD), notamment au regard de la protection des mineurs.
• La collecte de données relatives aux « préférences sexuelles », même via une simple fonctionnalité de recherche, constitue un traitement de catégories particulières de données au sens de l'article 9 du RGPD, dont le traitement est interdit en l'absence de l'une des exceptions prévues.
• L'absence d'informations sur l'identité du responsable et les finalités du traitement, tant dans le processus d'inscription que dans les mentions légales, constitue une violation de l'obligation de transparence (article 13 du RGPD) qui prive les personnes de la capacité d'exercer leurs droits.
• Le traitement de données sensibles sans base légale (article 9) entraîne par nature une violation de l'obligation générale de licéité du traitement (article 6 du RGPD).