L'Agence Espagnole de Protection des Données (AEPD) a publié une décision déclarant des manquements à l'encontre de la Mairie de Palma pour des manquements en lien avec le traitement de données personnelles via un système d'ouverture de conteneurs à déchets par carte citoyenne. Cette affaire débute par une plainte d'un particulier concernant l'installation de ces dispositifs et l'utilisation de sa carte pour y accéder.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 6 du RGPD) : La Mairie a invoqué à la fois l'exercice d'une mission d'intérêt public et le consentement pour justifier la collecte des numéros de carte lors de l'ouverture des conteneurs. L'autorité a estimé qu'aucune norme légale n'imposait ce traitement de données personnelles pour la gestion des déchets, que la finalité de suivi statistique pouvait être atteinte par des moyens moins intrusifs et que le consentement n'était pas valablement recueilli pour cet usage spécifique.

* Obligation d'information (articles 13 et 14 du RGPD) : L'information fournie aux citoyens était incomplète et manquait de transparence. Ni les formulaires de demande de la carte citoyenne, ni les politiques de confidentialité ne mentionnaient explicitement la collecte de données pour la gestion des déchets. L'autorité a rappelé que le simple renvoi vers une politique de confidentialité générale ne suffit pas à remplir cette obligation.

* Obligation de tenir un registre des activités de traitement (article 30 du RGPD) : Le registre des activités de traitement de la Mairie n'incluait pas le traitement de données personnelles lié à l'utilisation de la carte citoyenne pour la collecte des déchets organiques, ni les finalités, délais de conservation ou autres éléments requis pour cette activité spécifique.

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : Aucune analyse d'impact n'a été menée pour ce traitement. L'autorité a considéré qu'elle était nécessaire en raison du traitement à grande échelle des données de toute la population de la ville, de la surveillance des comportements et des déplacements des individus, et de l'utilisation d'une technologie permettant de collecter des informations sur leurs habitudes privées.

* Principe de limitation de la conservation (article 5, paragraphe 1, point e) du RGPD) : La Mairie n'avait pas défini de durée de conservation pour les données enregistrées par les lecteurs de carte des conteneurs (numéro de carte, date, heure, lieu). L'autorité a conclu que les données étaient conservées indéfiniment, leur suppression dépendant uniquement de l'exercice d'un droit par la personne concernée.

En conséquence, l'autorité a déclaré que la Mairie de Palma avait enfreint les articles susmentionnés du RGPD. En outre, l’autorité a ordonné à la Mairie de se mettre en conformité dans un délai de trois mois, notamment en réalisant une analyse d'impact, en établissant une base juridique valide pour le traitement ou en y mettant fin, et en mettant à jour sa documentation (registre des activités de traitement, information aux personnes concernées) et ses pratiques (durée de conservation).