L'autorité espagnole de protection des données a classé une procédure pour traitement illicite de données, considérant que les faits avaient déjà été jugés et sanctionnés par une juridiction pénale.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision de classement d'une procédure initiée à l'encontre d'une personne physique pour la diffusion non autorisée d'une vidéo d'agression sexuelle sur une mineure.

L'affaire a débuté suite à la prise de connaissance par l'autorité d'un article de presse relatant la diffusion en direct sur un réseau social de l'agression sexuelle d'une mineure.

Motifs de la décision

• Absence de base légale pour le traitement (article 6, paragraphe 1, du RGPD) : L'autorité a examiné la diffusion par la personne mise en cause d'une vidéo montrant l'agression sexuelle d'une mineure, enregistrée et partagée sur une application de messagerie. Ce traitement de données à caractère personnel, incluant des images de la victime nue et dans un état de vulnérabilité, a été effectué sans aucun fondement juridique. Cependant, l'autorité a constaté que ces faits avaient déjà fait l'objet d'une procédure pénale, aboutissant à la condamnation de la personne mise en cause pour un délit de révélation de secrets par une sentence du ***FECHA.8.

Décision de l'autorité

En conséquence, l'autorité a décidé de classer la procédure engagée à l'encontre de A.A.A.

Enseignements

Cette décision rappelle que :

• Une condamnation pénale définitive pour des faits constituant également une violation du RGPD peut conduire l'autorité de contrôle à classer sa propre procédure de sanction, considérant que la responsabilité de l'auteur a déjà été établie et sanctionnée.
• La diffusion non consentie d'images intimes, particulièrement celles d'une mineure victime d'une infraction, constitue un traitement de données illicite d'une extrême gravité qui relève à la fois de la compétence des autorités de protection des données et des juridictions pénales.
• La simple réception et le partage d'un contenu illicite via une messagerie privée constituent un traitement de données à caractère personnel engageant la responsabilité de celui qui le diffuse, même si le contenu est supprimé par la suite.
• Les autorités de contrôle peuvent s'autosaisir sur la base d'informations publiques, telles que des articles de presse, pour ouvrir une enquête sur des violations potentielles du RGPD.