La diffusion non autorisée de données de santé d'une résidente dans un groupe de messagerie instantanée d'une copropriété a conduit l'autorité espagnole à sanctionner le syndicat, malgré la faible gravité perçue de l'incident et les mesures correctrices prises.

Faits et contexte

L'Agence Espagnole de Protection des Données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre du syndicat de copropriété MANCOMUNIDAD RESIDENCIAL A.A.A. (comprenant le prononcé d'une amende de 1 000 €) pour des manquements en lien avec la diffusion non autorisée de données de santé sur une messagerie instantanée.

L'affaire trouve son origine dans la plainte d'une résidente suite à la diffusion, dans un groupe WhatsApp de copropriétaires, d'un document révélant sa sensibilité chimique pour justifier l'arrêt d'un traitement phytosanitaire.

Motifs de la décision

• Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a estimé que la diffusion par la présidente du syndicat d'un document contenant des données de santé à un groupe de copropriétaires sur WhatsApp, sans le consentement de la personne concernée, constituait un accès et une divulgation non autorisés. En ne garantissant pas la protection de ces informations contre une telle divulgation, le syndicat a manqué à son obligation d'assurer la confidentialité des données personnelles, engageant ainsi sa responsabilité.

• Interdiction du traitement de catégories particulières de données (article 9 du RGPD) : Les informations relatives à la "sensibilité chimique" de la plaignante ont été qualifiées de données de santé, dont le traitement est en principe interdit. L'autorité a relevé que le consentement donné par la résidente pour informer uniquement la présidente et le jardinier ne pouvait en aucun cas être interprété comme un consentement explicite pour une diffusion à l'ensemble des copropriétaires. Aucune autre condition dérogatoire de l'article 9 n'étant remplie, la diffusion constituait un traitement illicite de données sensibles.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 1 000 € au syndicat de copropriété MANCOMUNIDAD RESIDENCIAL A.A.A., décomposée en 500 € pour chaque manquement. L'autorité a tenu compte, comme facteurs atténuants, des mesures prises par le syndicat pour supprimer les messages et renforcer ses protocoles internes suite à la plainte.

Enseignements

Cette décision confirme / précise / rappelle que :

• Le consentement donné pour informer un nombre restreint de personnes pour une finalité précise ne constitue pas une base juridique valable pour une diffusion plus large de ces mêmes données.

• L'utilisation d'outils de communication informels, tels que des groupes de messagerie instantanée, pour des communications liées à la gestion de la copropriété engage la responsabilité du syndicat en tant que responsable du traitement, même si le groupe n'a pas de statut "officiel".

• La communication de données de santé, même dans un but prétendument informatif pour les autres résidents, constitue un traitement de catégories particulières de données soumis aux conditions strictes de l'article 9 du RGPD.

• La mise en œuvre rapide de mesures correctrices après la découverte d'un manquement, telles que la suppression des données diffusées et le renforcement des protocoles internes, est un facteur atténuant pris en compte lors de la fixation du montant de la sanction.