L'autorité espagnole de protection des données a constaté une infraction à l'encontre de la Direction Générale de la Garde Civile pour son manquement à l'obligation de réaliser une analyse d'impact relative à la protection des données pour un projet d'assistant virtuel, et ce, même si le projet a été annulé avant toute mise en œuvre et tout traitement de données.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision constatant une infraction à l'encontre de la Direction Générale de la Garde Civile pour un manquement à l'obligation de réaliser une analyse d'impact relative à la protection des données pour son projet d'assistant virtuel basé sur l'intelligence artificielle.

L'affaire trouve son origine dans une plainte du 12 septembre 2023 concernant le projet "Pilote Garde Civile Virtuelle", qui visait à déployer des avatars et de l'intelligence artificielle pour l'accueil du public, sans qu'une analyse d'impact n'ait été menée.

Motifs de la décision

• Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : L'autorité a rejeté l'argument de la Garde Civile selon lequel l'absence de traitement de données effectif, en raison de la résiliation du contrat avant l'exécution du projet, la dispensait de réaliser une analyse d'impact. Le raisonnement de l'autorité s'appuie sur le fait que l'obligation de mener une telle analyse naît dès la phase de conception d'un traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, et ce, avant même le début du traitement. L'autorité a estimé que le projet, par sa nature, remplissait plusieurs critères rendant l'analyse d'impact obligatoire. Il impliquait l'utilisation de nouvelles technologies (intelligence artificielle, apprentissage automatique, reconnaissance vocale, moteurs d'empathie), un traitement à grande échelle (déploiement sur des bornes interactives et une application mobile destinée à des milliers d'utilisateurs), ainsi que le traitement de données potentiellement sensibles, comme la voix et les inférences sur l'état émotionnel des personnes. L'autorité a souligné que la voix et l'adresse IP constituent des données à caractère personnel et que la simple affirmation dans les documents contractuels qu'aucun traitement de données personnelles n'était prévu était contredite par les spécifications techniques du projet, qui incluaient un système d'enregistrement des utilisateurs (nom, courriel, mot de passe). La résiliation ultérieure du contrat n'annule donc pas l'infraction initiale consistant à avoir conçu et contractualisé un traitement à risque élevé sans l'évaluation préalable requise.

Décision de l'autorité

En conséquence, l'autorité a déclaré que la Direction Générale de la Garde Civile a enfreint l'article 35 du RGPD. Les poursuites relatives à une éventuelle violation de l'article 25 du RGPD ont quant à elles été classées.

Enseignements

Cette décision rappelle que :

• L'obligation de réaliser une analyse d'impact naît dès la phase de conception d'un projet, avant tout traitement de données, et ne peut être différée.
• L'annulation d'un projet ou la résiliation d'un contrat ne supprime pas rétroactivement l'infraction consistant à ne pas avoir mené d'analyse d'impact lorsque celle-ci était requise au stade de la planification.
• Les spécifications techniques d'un projet prévalent sur les déclarations contractuelles ; si la technologie implique un traitement de données personnelles, une clause affirmant le contraire est inopérante.
• Un traitement combinant l'usage de nouvelles technologies comme l'intelligence artificielle, un déploiement à grande échelle et l'analyse de données telles que la voix ou les émotions remplit plusieurs critères rendant l'analyse d'impact obligatoire.
• La notion de données à caractère personnel doit être interprétée de manière large et inclut non seulement les identifiants directs mais aussi la voix, les adresses IP et les données inférées par des systèmes d'intelligence artificielle.