L'autorité norvégienne de protection des données a adressé une réprimande au groupe SATS pour avoir imposé la prise de photographies de ses membres sur la base d'un fondement juridique incorrect et sans les informer clairement de leur droit d'opposition.

Faits et contexte

L'autorité norvégienne de protection des données a publié une décision prononçant une réprimande à l'encontre du groupe SATS, qui exploite notamment les centres de remise en forme ELIXIA, pour des manquements liés à la collecte des photographies de ses clients.

L'affaire trouve son origine dans plusieurs plaintes de clients des centres de remise en forme du groupe, auxquels il était imposé, depuis une modification de la politique en août 2025, de fournir une photographie pour leur dossier sous peine de se voir refuser l'accès aux installations.

Motifs de la décision

• Choix du fondement juridique (article 6 du RGPD): L'autorité a estimé que le traitement des photographies, destiné à prévenir les abus, ne pouvait se fonder sur l'exécution du contrat. Elle a jugé que cette collecte n'était pas indispensable à la finalité principale du contrat, à savoir fournir un accès aux installations sportives, puisque cet accès était possible via une carte de membre et que la photographie n'était pas systématiquement vérifiée. Le fondement juridique approprié aurait dû être l'intérêt légitime du responsable du traitement, ce qui aurait ouvert le droit d'opposition.
• Obligation d'information (article 13 du RGPD): Le groupe SATS a manqué à son obligation de transparence en n'informant pas de manière suffisamment claire ses clients de leur droit de s'opposer à la collecte de leur photographie. L'autorité a souligné que cette information est une condition préalable essentielle pour permettre aux personnes concernées d'exercer efficacement leurs droits, notamment le droit d'opposition.

Décision de l'autorité

En conséquence, l'autorité a adressé une réprimande au groupe SATS.

En outre, l'autorité a ordonné au groupe SATS de mettre ses pratiques en conformité avec la législation avant le 11 septembre 2026. Il devra notamment répondre à toute personne s'opposant à la prise de sa photographie, soit en accédant à sa demande, soit en justifiant son refus sur la base de motifs légitimes et impérieux.

Enseignements

Cette décision rappelle que :

• Le fondement juridique de l'exécution d'un contrat ne peut être invoqué que pour les traitements de données strictement nécessaires à la réalisation de l'objet principal du contrat.
• Lorsqu'un traitement est fondé sur l'intérêt légitime, l'information sur le droit d'opposition doit être fournie de manière explicite et claire aux personnes concernées pour que ce droit puisse être exercé.
• Toute demande d'opposition formulée par une personne concernée doit faire l'objet d'une réponse motivée, que le responsable du traitement y fasse droit ou la rejette.
• L'exercice du droit d'opposition n'est soumis à aucune exigence de forme, et le responsable du traitement ne peut imposer des formalités excessives à la personne concernée.