L'autorité danoise de protection des données a validé le recours à l'intérêt légitime pour justifier la numérisation systématique des cartes d'embarquement des clients dans des boutiques hors taxes, en s'appuyant notamment sur l'anonymisation immédiate des données non nécessaires.

Faits et contexte

L'autorité danoise de protection des données (Datatilsynet) a publié le 29 septembre 2026 une décision de clôture sans sanction à l'encontre de Gebr. Heinemann Retail, concernant la numérisation des cartes d'embarquement dans les boutiques hors taxes de l'aéroport de Copenhague.

L'affaire trouve son origine dans un contrôle d'initiative mené par l'autorité en 2025, axé sur le suivi numérique dans l'espace public.

Motifs de la décision

L'autorité a analysé la conformité de la pratique au regard de l'obligation de disposer d'une base juridique pour le traitement.

• Obligation de disposer d'une base juridique licite (article 6 du RGPD) : Le responsable de traitement justifiait la numérisation des cartes d'embarquement par son intérêt légitime à déterminer et documenter de manière fiable si une vente était éligible à une exonération de taxes et de droits de douane, conformément à l'autorisation de l'administration douanière. Bien que la numérisation du code Aztec entraînait la collecte de données non strictement nécessaires à cette fin (nom complet et numéro de siège), ces informations étaient immédiatement anonymisées dans le système après la lecture. Seules les données pertinentes (aéroports de départ et de destination, numéro de vol) étaient conservées. L'autorité a validé cette approche, considérant que l'intérêt de l'entreprise à s'assurer rapidement du statut fiscal des ventes et à éviter des pertes financières directes et significatives n'était pas supplanté par les droits et libertés des clients. Pour parvenir à cette conclusion, elle s'est appuyée sur la nature des données collectées, les mesures techniques mises en place pour réduire les risques (notamment l'anonymisation immédiate), et l'absence d'alternative moins intrusive permettant d'atteindre l'objectif avec la même efficacité, en accord avec les principes de l'avis 6/2014 du Groupe de travail Article 29 sur les garanties supplémentaires. L'autorité a également fait référence au considérant 47 du RGPD, soulignant que les clients pouvaient raisonnablement s'attendre à un tel traitement dans ce contexte.

Décision de l'autorité

En conséquence, l'autorité a clôturé son enquête sans retenir de manquement ni prononcer de sanction à l'encontre de Gebr. Heinemann Retail ApS.

Enseignements

Cette décision rappelle que :

• L'intérêt légitime peut constituer une base juridique valide pour une collecte de données, même si elle semble intrusive, à condition que sa nécessité soit rigoureusement démontrée et que l'impact sur les personnes concernées soit activement minimisé par des mesures techniques robustes.
• L'anonymisation immédiate des données personnelles non nécessaires à la finalité poursuivie est une mesure de réduction du risque déterminante dans la mise en balance des intérêts.
• La démonstration de l'absence d'alternative moins intrusive et tout aussi efficace est un élément central pour justifier la nécessité du traitement dans le cadre de l'intérêt légitime.