L'autorité espagnole de protection des données (AEPD) a sanctionné une société hôtelière pour avoir publié le numéro de téléphone personnel d'une ancienne employée comme contact de l'établissement sur une plateforme de réservation, sans disposer d'une base juridique valable.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de LARDIANA, S.L. (comprenant le prononcé d'une amende de 2 000 €) pour des manquements en lien avec l'absence de base juridique pour le traitement de données personnelles.

L'affaire trouve son origine dans la plainte d'une ancienne employée de la société, qui a constaté que son numéro de téléphone personnel était utilisé comme contact de l'hôtel sur une plateforme en ligne, et ce, plus d'un an après la fin de sa relation de travail.

Motifs de la décision

• Obligation de licéité du traitement (article 6, paragraphe 1, du RGPD) : L'autorité a constaté que la société avait publié le numéro de téléphone mobile personnel de la plaignante sur la plateforme ***PLATAFORMA.1 en tant que contact de l'hôtel. Ce traitement de données personnelles a été effectué sans le consentement de la personne concernée, qui avait d'ailleurs expressément demandé par courriel le 10 avril 2023 que son numéro ne soit pas utilisé à cette fin. En l'absence de toute autre base juridique valide au sens de cette disposition, l'autorité a conclu que le traitement était illicite.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 2 000 € à LARDIANA, S.L.

En outre, l'autorité a ordonné à la société de retirer, dans un délai d'un mois, la publication de tout numéro de téléphone personnel sur la plateforme si ce traitement ne repose pas sur une base juridique légitime, et d'en apporter la preuve.

Enseignements

Cette décision rappelle que :

• L'utilisation du numéro de téléphone personnel d'un employé à des fins professionnelles, telle que sa publication comme contact d'entreprise, constitue un traitement de données qui requiert une base juridique distincte et valide, le consentement ne pouvant généralement être présumé dans le cadre d'une relation de travail.
• Une demande explicite d'un employé de cesser l'utilisation de ses données personnelles doit être traitée avec diligence, son ignorance constituant une violation manifeste du principe de licéité.
• Les processus de départ des employés (procédure de sortie) doivent inclure une revue et une suppression systématiques de leurs données personnelles des supports de communication externes de l'entreprise afin d'éviter leur utilisation continue et illicite.