Une amende de 2,59 millions d'euros a été infligée à un organisateur de jeux de hasard pour avoir traité les données biométriques de ses clients sans base légale valable, en violation des principes de minimisation et de transparence.

Faits et contexte

L'Agence pour la protection des données personnelles (AZOP), l'autorité croate, a aujourd'hui publié une décision de sanction à l'encontre d'un organisateur de jeux de hasard, comprenant le prononcé d'une amende de 2 590 000 €, pour des manquements en lien avec le traitement de données biométriques.

L'affaire trouve son origine dans une enquête d'office menée par l'autorité concernant les pratiques de l'entreprise en matière d'identification des joueurs.

Motifs de la décision

• Obligation de licéité et de minimisation des données (article 5, paragraphe 1, points a) et c), article 6, paragraphe 1 et article 9, paragraphe 1 du RGPD) : Le responsable du traitement proposait une identification par empreintes digitales pour accélérer l'entrée des joueurs, en alternative à la vérification de la carte d'identité. L'enquête a révélé que l'entreprise collectait les empreintes de quatre doigts, et non de deux comme elle le prétendait, pour 34 933 joueurs. L'autorité a jugé cette collecte excessive au regard de la finalité d'identification, rejetant l'argument de la nécessité de disposer d'empreintes "de secours" en cas de lésion cutanée. Elle a rappelé qu'un traitement violant le principe de minimisation ne peut devenir licite par le seul fait que la personne concernée y a consenti, surtout s'agissant de données biométriques dont le traitement présente un risque élevé.
• Obligation d'obtenir un consentement valide (article 7 et article 4, point 11 du RGPD) : Les déclarations de consentement présentées aux joueurs pour la collecte de leurs empreintes digitales et de leur photographie regroupaient plusieurs finalités distinctes (identification, statistiques, profilage, amélioration du service, etc.) sans leur offrir la possibilité de choisir séparément. De plus, la formulation entretenait la confusion entre les traitements légalement obligatoires (vérification d'identité) et ceux, facultatifs, fondés sur le consentement. L'autorité a conclu que ce consentement groupé et peu clair ne répondait pas aux exigences de spécificité, de liberté et de caractère informé, le rendant ainsi invalide.
• Obligation de transparence et d'information (article 12, paragraphe 1 et article 13 du RGPD) : Les informations sur le traitement des données, disséminées dans plusieurs documents remis aux joueurs, étaient incomplètes, contradictoires et incohérentes. Par exemple, les finalités associées à la collecte des empreintes digitales variaient d'un document à l'autre, et les bases légales n'étaient pas clairement rattachées aux traitements spécifiques. En conséquence, les personnes concernées ne pouvaient pas comprendre de manière claire et univoque comment leurs données personnelles étaient traitées, en violation du principe de transparence.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 2 590 000 € à l'organisateur de jeux de hasard.

Enseignements

Cette décision rappelle que :

• Le consentement d'une personne ne peut rendre licite un traitement qui viole par ailleurs le principe de minimisation des données, particulièrement lorsqu'il s'agit de données sensibles comme les données biométriques.
• Le recueil du consentement doit être granulaire : le fait de regrouper plusieurs finalités distinctes au sein d'une seule demande de consentement, sans permettre un choix séparé, invalide le consentement.
• L'information fournie aux personnes concernées doit être cohérente et univoque sur l'ensemble des supports, en liant clairement chaque finalité de traitement à sa base légale spécifique pour garantir une réelle transparence.