L'autorité espagnole de protection des données (AEPD) a clos une procédure de sanction initiée pour traitement illicite de données, en application du principe interdisant une double sanction pour les mêmes faits (*non bis in idem*), après que la personne concernée a été condamnée au pénal.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de clôture d'une procédure de sanction à l'encontre d'un mineur pour des manquements allégués en lien avec l'enregistrement et la diffusion d'une vidéo d'agression sexuelle.

L'affaire trouve son origine dans un article de presse signalant la diffusion en direct sur une plateforme d'une agression sexuelle sur une mineure, ce qui a conduit l'autorité à lancer des investigations en collaboration avec la police judiciaire.

Motifs de la décision

L'autorité avait initialement engagé une procédure pour le manquement suivant :

• Absence de base légale pour le traitement (article 6 du RGPD) : L'autorité avait initié une procédure de sanction à l'encontre d'un mineur, identifié comme A.A.A., au motif qu'il avait enregistré une diffusion en direct d'une agression sexuelle et l'avait ensuite partagée dans un groupe sur une autre plateforme. Ce traitement de données personnelles, particulièrement sensibles et réalisé sans aucun consentement ni autre fondement juridique, constituait une violation présumée du paragraphe 1 de l'article 6 du RGPD.

Décision de l'autorité

Cependant, constatant que les faits avaient déjà fait l'objet d'une condamnation pénale définitive à l'encontre de A.A.A. pour un délit de révélation de secrets, l'autorité a classé la procédure. En application du principe interdisant une double sanction pour les mêmes faits (*non bis in idem*), elle a estimé ne pas pouvoir prononcer de sanction administrative pour un comportement déjà réprimé par la justice pénale, qui avait imposé des mesures socio-éducatives et une indemnisation de 3 000 € à la victime.

Enseignements

Cette décision rappelle que :

• Le principe *non bis in idem* s'applique aux procédures de sanction des autorités de protection des données, empêchant une sanction administrative lorsque les mêmes faits ont déjà donné lieu à une condamnation pénale définitive.
• L'articulation entre les procédures pénales et administratives peut conduire à la suspension puis au classement d'une procédure de sanction RGPD si la voie pénale aboutit à une condamnation pour les mêmes agissements.
• L'enregistrement et la diffusion d'images d'une personne, même par un particulier, constituent un traitement de données personnelles soumis au RGPD dès lors que l'exception relative à une activité purement personnelle ou domestique n'est pas applicable.
• Une condamnation pénale pour des faits impliquant un traitement de données illicite (comme la révélation de secrets) peut tenir lieu de sanction et dispenser l'autorité de contrôle d'en prononcer une seconde sur le fondement du RGPD.