L'autorité espagnole clôture une procédure pour diffusion de données sans base légale, au motif que les faits ont déjà fait l'objet d'une condamnation pénale définitive, appliquant ainsi le principe *ne bis in idem*.

Faits et contexte

L'Agence espagnole de protection des données (AEPD) a publié une décision de clôture de procédure à l'encontre d'une personne physique pour la diffusion en direct d'une agression sexuelle, les faits ayant déjà été sanctionnés pénalement.

L'affaire a débuté après la publication d'un article de presse informant de la diffusion en direct d'une agression sur une plateforme en ligne, conduisant l'autorité à ouvrir une enquête d'office le 4 novembre 2022.

Motifs de la décision

L'autorité avait initialement ouvert une procédure de sanction en considérant que les faits étaient susceptibles de constituer le manquement suivant :

• Absence de base légale pour le traitement (article 6, paragraphe 1, du RGPD) : Il était reproché à la personne mise en cause d'avoir enregistré et diffusé en direct sur une plateforme en ligne des images d'une victime en état d'ébriété et inconsciente de la situation, sans qu'aucune base légale ne puisse justifier un tel traitement de données à caractère personnel. Les preuves, incluant un enregistrement vidéo et des captures d'écran, montraient clairement la commission des faits et l'identification de l'auteur.

Cependant, l'autorité a constaté que ces mêmes faits avaient fait l'objet d'une procédure pénale. Une sentence définitive du tribunal pour mineurs ***JUZGADO.1 en date du ***FECHA.6 a condamné l'auteur pour un délit d'agression sexuelle et un délit de découverte et révélation de secrets. La condamnation incluait deux ans d'internement en régime semi-ouvert, un an de liberté surveillée et une indemnisation de 3 000 € pour préjudice moral. L'AEPD a donc estimé que les faits avaient déjà été jugés et sanctionnés par la juridiction pénale, ce qui justifiait le classement de sa propre procédure.

Décision de l'autorité

En conséquence, l'autorité a décidé de classer la procédure sans suite.

Enseignements

Cette décision rappelle que :

• Le principe *ne bis in idem* peut conduire une autorité de protection des données à classer une procédure lorsque les mêmes faits ont déjà donné lieu à une condamnation pénale définitive, considérant que la sanction pénale est suffisante.
• La diffusion non consensuelle d'images intimes constitue non seulement une violation du RGPD (absence de base légale), mais peut également être qualifiée pénalement, notamment au titre de la révélation de secrets.
• Une autorité de contrôle peut suspendre une procédure de sanction en matière de protection des données dans l'attente de l'issue d'une procédure pénale portant sur les mêmes faits.
• Les autorités de contrôle peuvent s'autosaisir et initier des enquêtes sur la base d'informations publiques, telles que des articles de presse, sans attendre le dépôt d'une plainte formelle.