L'autorité espagnole de protection des données a prononcé un avertissement à l'encontre d'une personne physique pour avoir collecté les données de plus de 228 000 participants à un événement via un site web dont la politique de confidentialité ne respectait pas les exigences de transparence de l'article 13 du RGPD, notamment concernant les finalités et les durées de conservation.

Faits et contexte

L'Autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de A.A.A. (comprenant le prononcé d'un avertissement) pour des manquements en lien avec l'obligation d'information des personnes concernées.

L'affaire trouve son origine dans une enquête d'office menée par l'AEPD concernant la collecte de données personnelles via un site web pour l'inscription à un événement, ayant recueilli les informations de 228 231 personnes.

Motifs de la décision

• Obligation d'information lors de la collecte des données (article 13 du RGPD) : L'autorité a constaté que la politique de confidentialité associée au formulaire d'inscription ne respectait pas les exigences de transparence. En effet, elle n'indiquait pas de manière suffisamment précise les finalités du traitement, ni les transferts internationaux de données. De plus, la durée de conservation était formulée de manière trop générale ("pendant une durée n'excédant pas celle nécessaire au maintien de la finalité du traitement"), sans spécifier de délai concret ni les critères utilisés pour le déterminer.

Décision de l'autorité

En application de ses pouvoirs correcteurs prévus à l'article 58, paragraphe 2 du RGPD, l'autorité a prononcé un avertissement à l'encontre de A.A.A.

Enseignements

Cette décision rappelle que :

• Une mention générique indiquant que les données sont conservées "pendant une durée n'excédant pas celle nécessaire" ne suffit pas à satisfaire l'obligation d'information sur la durée de conservation.
• L'information fournie aux personnes concernées au titre de l'article 13 du RGPD doit être complète et inclure explicitement l'ensemble des mentions requises, y compris les finalités précises, les durées de conservation et les éventuels transferts internationaux.
• Les finalités du traitement doivent être décrites de manière claire et spécifique, et ne pas se limiter à des objectifs généraux comme "gérer la participation" sans plus de détails.
• La collecte de données à grande échelle, même pour un événement ponctuel, fait l'objet d'une vigilance particulière des autorités de contrôle quant au respect des obligations de transparence.