L'autorité norvégienne de protection des données a sanctionné un éditeur de sites de rencontres pour avoir rendu publics les profils de ses membres, y compris des données sensibles révélant leur orientation sexuelle ou leurs convictions religieuses, sans disposer d'un consentement valable.

Faits et contexte

L'autorité norvégienne de protection des données (Datatilsynet) a publié une décision de sanction à l'encontre de la société Social Garden AS, comprenant le prononcé d'une amende de 140 000 couronnes norvégiennes (environ 12 200 €), pour des manquements liés à la publication de données personnelles sans base légale.

L'affaire trouve son origine dans une plainte déposée en 2024 par un utilisateur du site de rencontres "skeiv.no", qui avait constaté que les photos et informations de profil des membres étaient publiquement accessibles sur la page d'accueil du site.

Motifs de la décision

L'enquête a révélé que la société, qui exploite également les sites kristendate.no, kristendate.se et kristendate.dk, a publié les données d'environ 17 000 membres pendant plusieurs années, au moins depuis l'entrée en application du RGPD en 2018. L'autorité a retenu les manquements suivants :

• Obligation de disposer d'une base légale pour le traitement de catégories particulières de données (article 9 du RGPD) : L'autorité a estimé que le simple fait d'être membre des sites de rencontres en question constituait une donnée de catégorie particulière. En effet, l'inscription sur "skeiv.no" (qui se traduit par "queer.no") révèle l'orientation sexuelle d'une personne, tandis que l'adhésion à "kristendate.no" (signifiant "rencontre chrétienne") indique ses convictions religieuses. L'autorité a explicitement fait un parallèle avec sa décision dans l'affaire Grindr pour qualifier ces informations de données sensibles par inférence.
• Obligation d'obtenir un consentement valable (article 7 du RGPD) : Social Garden AS publiait les profils des membres (nom, âge, lieu de résidence, photo) sur la page d'accueil de ses sites, rendant ces informations accessibles à tout visiteur. Pour justifier cette publication de données sensibles, un consentement explicite était requis. Or, l'autorité a jugé que le mécanisme de recueil du consentement n'était pas conforme, le consentement n'étant ni libre, ni spécifique, ni éclairé, ni univoque, rendant ainsi le traitement illicite.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 140 000 couronnes norvégiennes (environ 12 200 €) à Social Garden AS.

Enseignements

Cette décision rappelle que :

• L'appartenance à un service ou une communauté dont le nom ou l'objet est explicite (par exemple, un site de rencontres destiné à une orientation sexuelle ou une confession religieuse spécifique) peut suffire à qualifier les données d'appartenance de catégories particulières de données au sens de l'article 9 du RGPD.
• La publication de données personnelles sur la page d'accueil d'un site web, les rendant accessibles sans authentification, constitue un traitement à haut risque qui exige une base légale particulièrement robuste, notamment un consentement explicite et valable lorsque des données sensibles sont concernées.
• Le consentement recueilli pour la publication de données sensibles doit impérativement respecter l'ensemble des critères de validité (libre, spécifique, éclairé, univoque) ; un manquement sur l'un de ces points rend l'ensemble du traitement illicite.