Un club sportif a été averti par l'autorité espagnole pour avoir ajouté une personne à un groupe de messagerie instantanée sans son consentement, l'autorité ayant jugé que l'utilisation du groupe à des fins organisationnelles rendait le club responsable du traitement, malgré ses dénégations.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision prononçant un avertissement à l'encontre du CLUB DEPORTIVO BALONCESTO HUELVA LA LUZ pour des manquements liés à l'absence de base légale pour un traitement de données.

L'affaire trouve son origine dans la plainte d'une personne ajoutée sans son consentement, le 5 mai 2024, à un groupe de messagerie instantanée géré par des membres du club, où elle a été exposée aux autres membres et a fait l'objet de commentaires injurieux.

Motifs de la décision

• Absence de base légale pour le traitement (article 6, paragraphe 1 du RGPD) : L'autorité a constaté que le plaignant avait été ajouté au groupe de messagerie sans son consentement, ce qui a exposé son nom, son numéro de téléphone et son profil aux 28 autres membres. Le club a soutenu qu'il ne s'agissait pas d'un canal de communication officiel et qu'il n'était pas responsable, le groupe ayant été créé de manière autonome par les joueurs. Cependant, l'autorité a rejeté cet argument en se fondant sur plusieurs éléments factuels : les administrateurs du groupe comprenaient des membres clés du personnel du club (entraîneur, entraîneur adjoint), et les messages échangés portaient sur l'organisation des activités du club (horaires d'entraînement, examens médicaux, demande de copie de pièces d'identité). L'autorité a donc conclu que, malgré son caractère informel, le groupe était utilisé à des fins professionnelles, faisant du club le responsable du traitement. En l'absence de toute autre base légale applicable, le traitement des données du plaignant était illicite.

Décision de l'autorité

En conséquence, l'autorité a adressé un avertissement au CLUB DEPORTIVO BALONCESTO HUELVA LA LUZ.

Enseignements

Cette décision rappelle que :

• La qualification de responsable du traitement ne dépend pas de la désignation officielle d'un canal de communication, mais de son utilisation effective pour des finalités professionnelles.
• L'utilisation d'outils de messagerie instantanée, même à titre "auxiliaire", pour des communications internes engage la responsabilité de l'organisme en tant que responsable du traitement des données qui y sont partagées.
• L'ajout d'une personne à un groupe de discussion, exposant son numéro de téléphone et son profil aux autres membres, constitue un traitement de données personnelles qui requiert une base légale valide, tel que le consentement préalable.
• La nature des messages échangés et le statut des administrateurs (par exemple, des membres du personnel encadrant) sont des éléments déterminants pour établir la finalité réelle d'un groupe de discussion et imputer la responsabilité du traitement à l'organisation.