L'autorité espagnole de protection des données a prononcé un avertissement à l'encontre d'une association pour avoir utilisé des données personnelles issues d'un fournisseur externe sans pouvoir démontrer la licéité de leur collecte initiale, rendant ainsi illégitime l'envoi ultérieur d'un courrier postal de remerciement à caractère promotionnel.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision prononçant un avertissement à l'encontre de l'Association des Peintres avec la Bouche et le Pied, S.L. (APBP) pour des manquements en lien avec la base juridique du traitement de données à des fins de prospection postale.

L'affaire trouve son origine dans la plainte d'une personne ayant reçu, le 29 janvier 2025, un courrier postal nominatif à caractère promotionnel de la part de l'association, sans y avoir consenti ni avoir eu de relation préalable avec celle-ci.

Motifs de la décision

• Obligation de disposer d'une base juridique licite pour le traitement (article 6 du RGPD) : L'autorité a constaté que l'association avait envoyé un courrier postal nominatif qui, bien que présenté comme un remerciement pour une contribution de 8 €, contenait des éléments promotionnels clairs, tels qu'un code QR et des liens vers son site web et sa boutique en ligne. L'association a invoqué l'intérêt légitime fondé sur une relation commerciale préalable. Cependant, l'enquête a révélé que les données postales avaient été initialement obtenues auprès d'un fournisseur externe pour un envoi non nominatif. L'autorité a jugé que l'association n'a pas apporté la preuve que cette collecte initiale était licite et que les personnes concernées avaient été correctement informées. Conformément au principe de responsabilité de l'article 5, paragraphe 2, du RGPD, il incombe au responsable du traitement de démontrer la conformité. Une simple garantie contractuelle du fournisseur ne suffit pas. Par conséquent, l'illicéité du traitement initial a vicié la base juridique de tous les traitements ultérieurs, y compris l'envoi du courrier nominatif.

Décision de l'autorité

En conséquence, l'autorité a adressé un avertissement à l'Association des Peintres avec la Bouche et le Pied, S.L. (APBP) pour violation de l'article 6, paragraphe 1, du RGPD.

Enseignements

Cette décision rappelle que :

• La responsabilité de la licéité des données obtenues auprès d'un fournisseur externe incombe au responsable du traitement, qui doit être en mesure de le démontrer activement.
• Une simple garantie contractuelle de la part d'un fournisseur de données est insuffisante pour prouver la conformité du traitement initial et ne décharge pas le responsable du traitement de ses propres obligations de vérification.
• La licéité d'un traitement de données doit être établie dès son origine ; une illicéité initiale entache la validité des traitements ultérieurs, même s'ils se fondent sur une autre base juridique comme l'intérêt légitime.
• Une communication de remerciement contenant des éléments promotionnels (liens vers une boutique, incitation à suivre sur les réseaux sociaux) ne peut être considérée comme purement administrative et requiert une base juridique appropriée pour la prospection.
• La mise en œuvre de mesures correctrices par le responsable du traitement, bien que ne supprimant pas l'infraction initiale, peut être considérée comme un facteur atténuant par l'autorité de contrôle lors du choix de la sanction.