L'autorité espagnole de protection des données (AEPD) a clos plusieurs procédures (ps-00122-2025, ps-00123-2025, ps-00124-2025, ps-00125-2025, ps-00129-2025, ps-00130-2025, ps-00131-2025, ps-00133-2025) initiées pour traitement illicite de données, considérant que les faits avaient déjà fait l'objet d'une condamnation pénale définitive. Le scenario est à chaque fois le même:

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de clôture de procédure à l'encontre d'une personne physique pour des manquements en lien avec la création et la diffusion d'images manipulées par intelligence artificielle.

L'affaire a débuté suite à des articles de presse et à une plainte concernant la diffusion sur les réseaux sociaux et par un groupe de personnes d'images de corps nus créées artificiellement à partir de photographies de personnes identifiables . 8 ont été condamnées pénalement et les procédures ont été closes par l'AEPD, et 2 autres ont été sanctionnées par l'autorité.

Motifs de la décision

• Absence de base légale pour le traitement (article 6, paragraphe 1, du RGPD) : L'autorité avait initié une procédure pour sanctionner le traitement de données personnelles, consistant en la manipulation d'images par intelligence artificielle et leur diffusion, sans qu'aucune des bases légales prévues par le RGPD ne soit applicable. Cependant, l'autorité a constaté que ces mêmes faits avaient déjà été jugés par une juridiction pénale. La personne visée a été reconnue responsable des délits correspondants dans une sentence judiciaire définitive, ce qui a conduit l'autorité de protection des données à ne pas poursuivre sa propre procédure de sanction.

Décision de l'autorité

En conséquence, l'autorité a décidé de clore la procédure de sanction à l'encontre de la personne physique concernée.

Enseignements

Cette décision rappelle que :

• Une condamnation pénale définitive portant sur des faits qui constituent également une violation du RGPD peut amener l'autorité de contrôle à clore sa propre procédure de sanction administrative.
• La création et la diffusion d'images d'une personne manipulées par intelligence artificielle, même si le résultat est une représentation fausse, constituent un traitement de données à caractère personnel soumis au RGPD dès lors que la personne reste identifiable.
• Les autorités de contrôle peuvent se saisir d'office d'une affaire sur la base d'informations publiques, telles que des articles de presse, avant même la réception d'une plainte formelle.
• La coopération avec les autorités judiciaires est un levier d'enquête déterminant pour identifier les auteurs de violations et établir les faits, notamment dans les cas présentant une dimension pénale.