L'autorité estonienne de protection des données (AKI) a ordonné à une association de cesser la publication d'un registre de condamnations pénales, jugeant qu'un tel traitement de données sensibles ne peut être effectué que sous le contrôle d'une autorité publique.

Faits et contexte

L'autorité estonienne de protection des données (Andmekaitse Inspektsioon - AKI) a publié le 17 juin 2026 une décision ordonnant à l'association à but non lucratif ETTEVAATUST de cesser la publication de données à caractère personnel relatives à des condamnations pénales sur son site internet.

L'affaire trouve son origine dans l'exploitation par l'association d'un site internet compilant de manière structurée des données relatives à près de 900 personnes condamnées pénalement.

Motifs de la décision

• Obligation relative au traitement des données concernant les condamnations pénales (article 10 du RGPD) : L'autorité a constaté que le site internet ne se contentait pas de relayer des cas individuels mais constituait un registre complet et structuré de condamnations pénales, incluant les noms, photographies, dates de naissance et des liens vers les décisions de justice. L'autorité a estimé qu'un tel traitement, par son ampleur et son objectif, s'apparentait à la tenue d'un registre des condamnations pénales. Or, en vertu du RGPD, un registre complet de cette nature ne peut être tenu que sous le contrôle de l'autorité publique. L'association agissant en dehors de tout contrôle officiel, le traitement a été jugé illicite.

Décision de l'autorité

En conséquence, l'autorité a ordonné à l'association ETTEVAATUST de cesser la publication des données à caractère personnel relatives aux décisions de justice.

En outre, l'autorité a précisé que cette injonction ne concernait que les données personnelles liées aux décisions de justice et n'imposait ni la fermeture du site, ni la suppression d'autres contenus comme des articles de presse. L'association doit se conformer à cette décision au plus tard le 29 juin 2026.

Enseignements

Cette décision rappelle que :

• La constitution par une entité privée d'un registre public, complet et structuré de condamnations pénales est illicite, ce type de traitement étant exclusivement réservé aux entités agissant sous le contrôle de l'autorité publique.


• Il convient de distinguer la publication d'informations sur des affaires judiciaires spécifiques présentant un intérêt public de la compilation systématique de données pénales dans une base de données centralisée.


• La tenue de registres de condamnations par des acteurs privés non contrôlés présente des risques importants, notamment celui de créer un faux sentiment de sécurité pour le public et de causer un préjudice aux personnes dont les données sont traitées de manière inexacte ou non actualisée.


• Les registres officiels gérés par l'État, tels que le casier judiciaire, constituent le mécanisme approprié pour garantir un accès fiable et contrôlé aux informations sur les condamnations pénales, dans le respect des droits fondamentaux.