Une personne physique est sanctionnée pour avoir publié sur un réseau social des images et données personnelles d'un voisin et de sa fille mineure sans base légale, une violation aggravée par le non-respect d'une mesure provisoire de suppression.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre d'une personne physique (comprenant le prononcé d'une amende de 10 000 €) pour des manquements en lien avec la publication illicite de données personnelles sur un réseau social.

La procédure a été initiée suite à une plainte déposée le 22 août 2024, dénonçant la diffusion non consentie d'images du plaignant et de sa fille mineure, accompagnées de leur identité et de leur adresse, sur des profils de réseaux sociaux.

Motifs de la décision

• Obligation de disposer d'une base légale pour le traitement (article 6, paragraphe 1, du RGPD) : L'autorité a constaté que la personne mise en cause avait enregistré et diffusé sur le réseau social ***RED.1 des vidéos et des images du plaignant et de sa fille mineure. Ces publications incluaient également leurs noms, prénoms et l'adresse de leur domicile. L'autorité a qualifié ces actions de traitement de données personnelles, dont la personne mise en cause est le responsable. Or, ce traitement a été effectué sans aucune base légale, notamment en l'absence de tout consentement préalable, libre, spécifique, éclairé et univoque des personnes concernées. Un rapport de police a confirmé que la personne mise en cause était bien l'auteur des publications, qui ont atteint jusqu'à ***CANTIDAD.3 vues, et que celles-ci contenaient des menaces de mort. La diffusion de données concernant une mineure a été considérée comme une circonstance aggravante.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 10 000 € à la personne physique mise en cause.

En outre, l'autorité a ordonné à la personne sanctionnée de prouver, dès la notification de la décision, qu'elle a bien suspendu la diffusion des images, enregistrements et données personnelles du plaignant et de sa fille mineure. Le non-respect de cette injonction pourrait constituer une infraction distincte au titre des articles 83, paragraphe 5, et 83, paragraphe 6, du RGPD.

Enseignements

Cette décision rappelle que :

• La publication de données personnelles sur un profil de réseau social, même par une personne physique dans un contexte de conflit de voisinage, ne relève pas de l'exception pour activités purement personnelles ou domestiques et constitue un traitement de données soumis au RGPD.
• La diffusion de l'image ou de toute autre donnée personnelle d'un mineur sans le consentement des titulaires de l'autorité parentale constitue une violation particulièrement grave du droit à la protection des données.
• Le non-respect d'une mesure provisoire ordonnée par une autorité de contrôle, telle que la suppression de contenus illicites, est un facteur aggravant pris en compte dans la détermination du montant de la sanction.
• L'intentionnalité de l'auteur de l'infraction et le volume de personnes ayant eu accès aux données personnelles diffusées sont des critères pertinents pour évaluer la gravité du manquement et proportionner la sanction.