Une personne physique a été sanctionnée pour avoir créé un site internet frauduleux et y avoir publié les données personnelles d'un tiers sans aucune base légale.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre d'une personne physique (comprenant le prononcé d'une amende de 2 000 €) pour des manquements en lien avec la publication de données personnelles sur un site internet frauduleux sans base légale.

L'affaire trouve son origine dans la plainte d'une personne ayant découvert que ses données personnelles, y compris sa photographie, avaient été publiées sur un site internet dont la création lui avait été notifiée par courriel le 14 juin 2024.

Motifs de la décision

• Absence de base légale pour le traitement (article 6, paragraphe 1 du RGPD) : L'autorité a constaté que la personne sanctionnée avait enregistré un nom de domaine et créé un site internet frauduleux, lié à de fausses contraventions de stationnement. Sur ce site, elle a publié sans l'accord de la plaignante les données personnelles de cette dernière, incluant son nom, son adresse de courriel, son numéro de document d'identité et sa photographie. L'autorité a conclu que cette diffusion publique de données constituait un traitement dépourvu de toute base légale au sens de l'article 6, paragraphe 1 du RGPD. La responsabilité de la personne physique a été établie grâce aux informations fournies par l'agent d'enregistrement du domaine et l'opérateur téléphonique, qui l'ont identifiée comme titulaire du domaine et de la ligne téléphonique associée.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 2 000 € à la personne physique responsable.

Enseignements

Cette décision rappelle que :

• La publication de données personnelles sur un site internet accessible au public est un traitement qui doit impérativement reposer sur l'une des bases légales énumérées à l'article 6 du RGPD.
• Une personne physique qui enregistre un nom de domaine et administre un site internet sur lequel des données personnelles sont traitées est considérée comme responsable du traitement et est tenue de respecter les obligations du RGPD.
• Les autorités de contrôle peuvent s'appuyer sur les informations détenues par les agents d'enregistrement de noms de domaine et les opérateurs de télécommunications pour identifier les responsables de traitement opérant en ligne.
• La création d'un site internet frauduleux dans le but de tromper les utilisateurs et la publication non autorisée de données personnelles constituent une violation manifeste du principe de licéité du traitement.