Cette décision de l'autorité belge de protection des données qualifie de données à caractère personnel les données de vol d'un aéronef (localisation, trajectoire, horaires), dès lors qu'elles peuvent être raisonnablement reliées à une personne physique identifiable, et confirme l'application territoriale du RGPD à une société non établie dans l'Union qui suit les déplacements de personnes au sein de celle-ci.

Faits et contexte

L'Autorité de protection des données (APD) a aujourd'hui publié une décision prononçant un blâme et des mesures correctrices à l'encontre d'une société fournissant des données aéronautiques pour des manquements liés à la publication en ligne de données de vol d'un hélicoptère.

L'affaire trouve son origine dans une plainte déposée le 14 octobre 2024 par le pilote habituel d'un hélicoptère, qui contestait la collecte et la publication de données de vol le concernant sur une carte en ligne accessible au public.

Motifs de la décision

L'autorité a d'abord confirmé que les données de vol de l'hélicoptère, telles que sa position, sa trajectoire et ses horaires, combinées à son numéro d'immatriculation, constituaient des données à caractère personnel. Elle a estimé que le plaignant, qui effectuait 95 % des vols, était indirectement identifiable. L'autorité a souligné que des moyens raisonnables permettaient cette identification, notamment en croisant les données de vol avec des informations publiques comme le registre aéronautique belge ou les coordonnées du plaignant que la société détenait par ailleurs. Elle a cité à cet égard la jurisprudence de la Cour de Justice de l'Union européenne (arrêt du 9 novembre 2023, C-319/22) qui précise que pour déterminer si une personne est identifiable, il faut tenir compte de tous les moyens raisonnablement susceptibles d'être mis en œuvre par le responsable du traitement ou par toute autre personne.

• Obligation d'information (article 5, paragraphe 1, point a), 12 et 14 du RGPD) : L'autorité a constaté que les données de vol étaient collectées indirectement, notamment via les signaux publics ADS-B Out, rendant l'article 14 du RGPD applicable. La société n'a pas fourni au plaignant les informations requises dans le délai d'un mois, sa politique de confidentialité étant silencieuse sur ce traitement spécifique. L'autorité a écarté l'argument d'un effort disproportionné, car la société disposait des coordonnées du plaignant et aurait donc pu le contacter.
• Droit à l'effacement et droit d'opposition (article 17 et 21 du RGPD) : Suite à la demande d'effacement et d'opposition du plaignant, la société a refusé de supprimer les données de vol, invoquant des motifs légitimes impérieux. L'autorité a jugé que la société n'avait pas démontré que ses intérêts (sécurité, journalisme, recherche) prévalaient sur les droits et libertés du plaignant. Elle a également noté que la société n'avait pas explicitement invoqué les exceptions prévues à l'article 17, paragraphe 3, du RGPD pour justifier son refus.
• Obligation de désigner un représentant dans l'Union (article 27 du RGPD) : L'autorité a d'abord établi que le traitement relevait du champ d'application territorial du RGPD au titre de son article 3, paragraphe 2, point b), car le suivi des déplacements de l'hélicoptère constitue un "suivi du comportement" d'une personne concernée au sein de l'Union. La société n'étant pas établie dans l'Union et le traitement n'étant ni occasionnel ni exempté, elle était tenue de désigner un représentant, ce qu'elle n'a pas fait.

Décision de l'autorité

En conséquence, l'autorité a prononcé un blâme à l'encontre de la société pour la violation des articles 5, 12 et 14 du RGPD.

En outre, l'autorité a ordonné à la société de se conformer à la demande d'effacement du plaignant dans un délai de 45 jours, sous peine d'une astreinte de 5 000 € par jour de retard. Elle lui a également enjoint de désigner un représentant dans l'Union dans un délai de 6 mois, sous peine d'une astreinte de 15 000 € par jour de retard, le montant total des astreintes étant plafonné à 1 000 000 €.

Enseignements

Cette décision rappelle que :

• Les données de localisation et de trajectoire d'un aéronef, même collectées via des signaux publics, constituent des données à caractère personnel dès lors qu'il existe des moyens raisonnables pour le responsable du traitement ou un tiers de les relier à une personne physique identifiable, par exemple en croisant le numéro d'immatriculation avec des registres publics.
• Le suivi systématique et en temps réel des déplacements d'une personne physique au sein de l'Union, même via un aéronef, constitue un "suivi du comportement" au sens de l'article 3, paragraphe 2, point b), du RGPD, rendant le règlement applicable à un responsable du traitement non établi dans l'Union.
• Pour refuser une demande d'effacement ou d'opposition fondée sur l'intérêt légitime, un responsable du traitement doit démontrer de manière concrète l'existence de motifs légitimes et impérieux qui prévalent sur les intérêts et les droits et libertés de la personne concernée ; une simple invocation d'intérêts généraux comme la sécurité ou le journalisme est insuffisante.