L'autorité espagnole sanctionne un fournisseur de solution d'enregistrement en ligne pour avoir imposé une vérification biométrique et la collecte de la pièce d'identité, le qualifiant de responsable conjoint du traitement malgré son statut contractuel de sous-traitant.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de la société VIPTHINK, S.L. (comprenant le prononcé d'une amende de 2 400 €) pour des manquements en lien avec la collecte excessive de données, le traitement illicite de données biométriques et le défaut d'information des personnes concernées.

L'affaire trouve son origine dans une plainte déposée le 4 juillet 2023 par une personne contrainte d'utiliser une application mobile pour son enregistrement en ligne, laquelle exigeait de photographier les deux faces de sa pièce d'identité ainsi qu'une photographie de son visage.

Motifs de la décision

L'autorité a d'abord analysé la qualification de VIPTHINK, S.L. qui se présentait comme un simple sous-traitant agissant pour le compte des établissements d'hébergement. L'AEPD a rejeté cette qualification en s'appuyant sur les lignes directrices 07/2020 du Comité Européen de la Protection des Données (CEPD) relatives aux concepts de responsable du traitement et de sous-traitant. Elle a estimé que VIPTHINK, S.L. déterminait de manière décisive les moyens du traitement en concevant et imposant les fonctionnalités de son application, notamment le recours à la vérification biométrique. De plus, sa politique de confidentialité mentionnait des finalités propres, telles que l'envoi d'informations commerciales. En vertu de l'article 28, paragraphe 10 du RGPD, un sous-traitant qui détermine les finalités et les moyens du traitement est considéré comme un responsable du traitement. L'autorité a donc conclu à une responsabilité conjointe avec l'établissement d'hébergement.

Sur cette base, l'autorité a retenu les manquements suivants :

• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'autorité a constaté que l'application exigeait une photographie des deux faces de la pièce d'identité et une photographie du visage de l'utilisateur. Or, la réglementation espagnole applicable (Décret Royal 933/2021) impose l'enregistrement de certaines données spécifiques des voyageurs (nom, prénom, numéro de document, etc.) mais n'exige en aucun cas la collecte d'une copie intégrale du document ou d'une image faciale. Par conséquent, la collecte de ces données a été jugée inadéquate, non pertinente et excessive au regard de la finalité de conformité légale, violant ainsi le principe de minimisation.
• Interdiction du traitement de catégories particulières de données (article 9 du RGPD) : Le processus de vérification impliquait une comparaison automatisée entre la photo de la pièce d'identité et la photographie du visage de l'utilisateur. L'autorité a rappelé que, conformément à la définition de l'article 4, paragraphe 14 du RGPD, les données biométriques sont celles qui permettent ou confirment l'identification unique d'une personne. Elle a souligné que le traitement de ces données, même à des fins de vérification (comparaison un-à-un), constitue un traitement de catégories particulières de données, soumis au principe d'interdiction de l'article 9, paragraphe 1. La société n'ayant démontré l'existence d'aucune des conditions dérogatoires prévues à l'article 9, paragraphe 2, le traitement a été jugé illicite.
• Obligation d'information (article 13 du RGPD) : Au moment des faits, la politique de confidentialité de l'application était lacunaire. Elle mentionnait des finalités liées à l'exécution du contrat et à l'intérêt légitime, mais n'informait pas de manière claire et spécifique la finalité de conformité avec l'obligation légale d'enregistrement des voyageurs. De plus, l'information relative au traitement des données biométriques et à sa finalité était absente, privant ainsi l'utilisateur d'une information complète et transparente sur l'utilisation de ses données personnelles.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 2 400 € à VIPTHINK, S.L., répartie comme suit : 700 € pour la violation de l'article 5, paragraphe 1, point c), 1 200 € pour la violation de l'article 9 et 500 € pour la violation de l'article 13 du RGPD.

Enseignements

Cette décision rappelle que :

• Un fournisseur de solution technologique qui détermine les fonctionnalités essentielles d'un traitement, comme l'utilisation de la biométrie, et définit ses propres finalités est qualifié de responsable conjoint, nonobstant l'existence d'un contrat de sous-traitance.
• Le traitement de données biométriques aux fins de vérification ou d'authentification d'une personne (comparaison un-à-un) constitue un traitement de catégories particulières de données au sens de l'article 9 du RGPD, soumis au principe d'interdiction et à ses exceptions d'interprétation stricte.
• L'existence d'une obligation légale de collecte de données ne justifie pas de recueillir des informations excédant ce que la norme impose strictement ; la collecte d'une copie intégrale d'une pièce d'identité est ainsi jugée excessive si la loi ne requiert que certaines informations qui y figurent.
• L'information fournie aux personnes concernées doit détailler de manière transparente et spécifique chaque finalité, y compris le recours à une obligation légale précise et l'utilisation de technologies intrusives comme la reconnaissance faciale.