L’autorité belge de protection des données a aujourd’hui publié une décision concernant la société Freedelity, comprenant la fixation de nouveaux délais de mise en conformité et la mise en place d’astreintes pour des manquements relatifs à la collecte et au traitement des données personnelles, notamment en lien avec le consentement et la minimisation des données.

Cette affaire débute par une décision de la Chambre contentieuse du 28 novembre 2024, ordonnant à Freedelity de mettre en place plusieurs mesures dans un délai de 4 mois, notamment des mécanismes garantissant un consentement libre, spécifique, éclairé et univoque, des moyens simples de retrait du consentement, la documentation du processus de collecte, la cessation de la collecte excessive de données d’identité, et la réduction de la durée de conservation des données à trois ans. La société a formé un recours en annulation, suspendant temporairement l’exécution, avant que la Cour des marchés ne confirme partiellement les injonctions tout en annulant le délai initial et les astreintes associées.

L’enquête menée par l’autorité avait permis de constater :

* Obligation de garantir un consentement libre, spécifique, éclairé et univoque (article 7 du RGPD) : Freedelity devait mettre en place des mécanismes adaptés dans un délai initial de 4 mois, délai annulé mais remplacé par un nouveau délai de 8 mois pour les injonctions 1 à 3, avec obligation de présenter un plan précis de mise en conformité. La société doit également documenter et faciliter ce retrait conformément aux injonctions.

* Obligation de documenter le processus de collecte du consentement pour démontrer la conformité (article 5.2), article 24, article 25 du RGPD) : la société doit fournir des preuves précises de conformité.

* Obligation de cesser la collecte et le traitement excessifs des données personnelles issues des cartes d’identité (article 5.1, c) du RGPD) : la collecte généralisée du numéro de carte d’identité a été jugée manifestement disproportionnée et contraire au principe de minimisation. La collecte de la date de naissance peut être tolérée uniquement si elle est strictement nécessaire pour éviter les homonymies. Un délai de 8 mois est accordé pour se conformer à cette injonction.

* Obligation de réduire la durée de conservation des données à un maximum de trois ans à compter de la dernière activité (article 5.1, e) du RGPD) : la durée initiale de 4 mois a été prolongée à 3 ans, avec un délai de 6 mois pour la mise en conformité.

La société Freedelity doit classer ses enseignes partenaires en fonction de leur collaboration (active, contraintes techniques sérieuses, ou non sérieuse) pour l’application des délais et des mesures. En cas de non-respect ou de conformité partielle, l’autorité initiera l’exécution d’astreintes fixées à 1 000 € par jour de retard pour chaque injonction, cumulables jusqu’à un plafond de 100 000 €. En cas de manquement aux injonctions 1 à 3 ou aux injonctions 4 et 5, la société devra verser 5 000 € par jour de retard.

En conséquence, la structure s’est vue imposer ces nouveaux délais de mise en conformité assortis d’astreintes financières, avec une publication de la décision sur le site de l’autorité pour assurer la transparence et l’identification directe de la société.