L'Agence Espagnole de Protection des Données (AEPD) a aujourd'hui publié une décision déclarant une infraction à l'encontre de la Direction Générale de la Garde Civile (DGGC) pour des manquements en lien avec l'absence d'analyse d'impact et l'inexactitude de son registre des activités de traitement concernant l'utilisation de pistolets à impulsion électrique équipés de caméras.

Cette affaire débute par une plainte déposée le 28 septembre 2023 par l'Association Unifiée des Gardes Civils (AUGC), signalant une potentielle violation de la réglementation sur la protection des données liée à l'utilisation de pistolets à impulsion électrique (PEI) dotés de caméras vidéo individuelles.

L’enquête menée par l’autorité a permis de constater :

* Obligation de réaliser une analyse d'impact relative à la protection des données (équivalent de l'article 35 du RGPD) : La Direction Générale de la Garde Civile n'a pas effectué d'analyse d'impact pour le traitement des données issues des caméras embarquées sur les pistolets à impulsion électrique. Elle estimait cette démarche non nécessaire au motif que le traitement découlait d'une obligation légale. L'autorité a jugé au contraire que cette analyse était obligatoire en raison de la présence de plusieurs facteurs de risque élevé, notamment l'emploi de nouvelles technologies, le traitement de données relatives à des infractions pénales et potentiellement de santé, la collecte de données à grande échelle et la possibilité d'enregistrer des personnes vulnérables.

* Obligation de tenir un registre des activités de traitement à jour (équivalent de l'article 30 du RGPD) : Le registre des activités de traitement, publié sur le site du Ministère de l'Intérieur, mentionnait une durée de conservation unique d'un mois pour les enregistrements. L'enquête a révélé que les enregistrements liés à des enquêtes policières ou à des procédures judiciaires ou administratives pouvaient légitimement être conservés bien au-delà de ce délai, rendant l'information du registre inexacte et incomplète.

En conséquence, l’autorité a déclaré l'infraction de la Direction Générale de la Garde Civile: elle ne peut en effet pas prononcer d'amende contre les entités publiques.
En outre, l’autorité a ordonné à la Direction Générale de la Garde Civile de réaliser et de finaliser une analyse d'impact relative à la protection des données pour le traitement concerné dans un délai de six mois.