L'autorité espagnole de protection des données a sanctionné une société municipale pour avoir manqué à ses obligations de loyauté et de transparence en installant une application sur les terminaux de ses salariés, capable d'enregistrer leurs conversations sans information préalable claire et complète sur ses fonctionnalités et les risques associés.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de la Société municipale de parkings et de projets, S.A. (SMAP), comprenant le prononcé d'une amende de 40 000 €, pour des manquements aux principes de loyauté et de transparence dans le cadre de l'utilisation d'une application installée sur les terminaux professionnels de ses salariés.

L'affaire trouve son origine dans une plainte déposée par des sections syndicales, dénonçant l'enregistrement de conversations de salariés via une application installée sur leurs appareils de travail sans leur consentement.

Motifs de la décision

• Obligation de loyauté et de transparence (article 5, paragraphe 1, point a) du RGPD) : L'autorité a constaté que la société avait installé une application nommée "ZELLO" sur 92 terminaux professionnels de ses agents, officiellement pour tester un système d'alerte d'urgence. Cependant, cette application permettait également l'enregistrement de conversations, une fonctionnalité qui a été activée au moins une fois, captant un échange alors qu'un salarié était en pause. L'autorité a jugé que la société n'avait pas traité les données de manière loyale et transparente, car les salariés n'avaient pas été informés de manière adéquate et complète sur l'existence de cette fonctionnalité d'enregistrement, les conditions de son activation, les personnes y ayant accès et les risques potentiels pour leurs droits et libertés, particulièrement dans le cadre d'une phase de test. Conformément au considérant 60 du RGPD, les principes de traitement loyal et transparent exigent que la personne concernée soit informée de l'existence de l'opération de traitement et de ses finalités. Le simple fait d'informer oralement de l'installation d'une application en phase de test, sans détailler toutes ses fonctionnalités et les risques inhérents, a été jugé insuffisant pour satisfaire à cette obligation.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 40 000 € à la Société municipale de parkings et de projets, S.A.

Enseignements

Cette décision rappelle que :

• L'obligation de transparence est renforcée lors du déploiement de nouvelles technologies en phase de test ; les salariés doivent être informés non seulement de la finalité principale mais aussi de toutes les fonctionnalités, même accessoires, et des risques spécifiques liés à une version non finalisée.
• L'enregistrement de données personnelles, même s'il n'est pas suivi d'une écoute et que les fichiers sont supprimés, constitue une opération de traitement soumise aux principes du RGPD.
• L'adoption de mesures correctives après la découverte d'un incident, comme la désinstallation d'une application, constitue une circonstance atténuante mais ne saurait exonérer le responsable de traitement de sa responsabilité pour la violation initiale des principes de protection des données.