La communication de données d'affiliation syndicale dans le cadre d'une procédure judiciaire, alors qu'elles avaient été collectées initialement pour la seule gestion de la paie, constitue une violation du principe de limitation des finalités, même si le responsable invoque la nécessité de se défendre en justice.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de BIDA FARMA S.C. ANDALUZA, comprenant le prononcé d'une amende de 20 000 €, pour un manquement au principe de limitation des finalités.

L'affaire trouve son origine dans une sentence de la Cour nationale espagnole, qui a mis en évidence la production par l'entreprise d'un document révélant l'affiliation syndicale de 14 salariés dans le cadre d'une procédure judiciaire à laquelle ils n'étaient pas tous parties.

Motifs de la décision

• Obligation de limitation des finalités (article 5, paragraphe 1, point b) du RGPD) : L'autorité a constaté que les données relatives à l'affiliation syndicale des salariés avaient été initialement collectées avec leur consentement pour la seule finalité de la déduction de la cotisation syndicale sur leur fiche de paie. La communication de ces données sensibles à la Cour nationale constituait un traitement ultérieur pour une finalité distincte, à savoir la défense des intérêts de l'entreprise en justice. Se référant au considérant 50 et à l'article 6, paragraphe 4 du RGPD sur la compatibilité des finalités, l'autorité a suivi le raisonnement de la Cour nationale qui avait jugé cette communication "injustifiée" et non "strictement nécessaire". Par conséquent, même si l'entreprise invoquait l'exception prévue à l'article 9, paragraphe 2, point f) du RGPD (défense en justice), le caractère non nécessaire de la communication a conduit à qualifier le traitement de violation du principe de limitation des finalités, en ligne avec l'interprétation restrictive des exceptions rappelée par la CJUE (affaire C-667/21).

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 20 000 € à BIDA FARMA S.C. ANDALUZA. L'entreprise a procédé au paiement volontaire d'un montant réduit de 16 000 €, ce qui a mis fin à la procédure.

Enseignements

Cette décision rappelle que :

• L'invocation de la nécessité de se défendre en justice (article 9, paragraphe 2, point f) du RGPD) pour justifier un traitement ultérieur de données sensibles ne dispense pas le responsable de traitement de démontrer le caractère strictement nécessaire de cette communication.
• La réutilisation de données personnelles pour une finalité nouvelle, même si elle semble légitime, doit faire l'objet d'une analyse de compatibilité rigoureuse au regard de l'article 6, paragraphe 4 du RGPD, en tenant particulièrement compte de la nature des données et des conséquences pour les personnes concernées.
• Le consentement obtenu pour une finalité très spécifique, telle que la gestion de la paie, ne peut servir de base légale pour un traitement ultérieur des mêmes données pour une finalité entièrement distincte et non prévue initialement.