L'autorité espagnole de protection des données a clos la procédure de sanction contre une clinique esthétique, non pas sur le fond, mais en raison de la prescription de la procédure, l'autorité n'ayant pas rendu sa décision dans le délai légal de 12 mois.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de clôture de la procédure de sanction engagée à l'encontre de PUCHERONLINE, S.L. pour cause de prescription, concernant des manquements potentiels liés au traitement de données de santé et à l'absence de base juridique.

L'affaire trouve son origine dans la plainte d'une personne déposée le 22 décembre 2023, concernant la publication non autorisée de ses photographies sur les réseaux sociaux suite à un traitement de médecine esthétique réalisé la veille, alors qu'elle n'avait consenti qu'à un usage dans le cadre de congrès.

Motifs de la décision

L'autorité avait engagé une procédure de sanction le 29 octobre 2024 pour des violations potentielles des articles 6 et 9 du RGPD. Cependant, la présente décision ne se prononce pas sur le fond de ces manquements. Le seul motif de la décision est la prescription de la procédure, l'autorité n'ayant pas rendu de décision finale dans le délai de 12 mois prévu par la loi, ce qui entraîne l'extinction de la procédure et l'archivage du dossier.

Les manquements initialement envisagés par l'autorité étaient les suivants :

• Obligation de disposer d'une base juridique licite (article 6 du RGPD) : La procédure avait été initiée car la plaignante affirmait que ses images avaient été publiées sur les réseaux sociaux sans son consentement. Elle avait spécifiquement limité son autorisation à une utilisation dans le cadre de congrès, excluant explicitement les réseaux sociaux, ce qui aurait privé le responsable de traitement d'une base juridique valable pour cette publication.
• Obligation relative au traitement de catégories particulières de données (article 9 du RGPD) : L'autorité avait également considéré une violation potentielle de l'interdiction de traiter des données de santé sans base juridique appropriée. Les photographies de la plaignante, prises dans le contexte d'un traitement de médecine esthétique, constituaient des données relatives à la santé, dont le traitement est en principe interdit sauf exceptions prévues par le RGPD, notamment le consentement explicite pour la finalité poursuivie.

Décision de l'autorité

En conséquence, l'autorité a déclaré la procédure de sanction prescrite et a ordonné l'archivage du dossier, sans prononcer de sanction à l'encontre de PUCHERONLINE, S.L.

Enseignements

Cette décision confirme / précise / rappelle que :

• Les autorités de contrôle sont soumises à des délais procéduraux stricts ; le non-respect du délai imparti pour statuer peut entraîner la prescription de la procédure de sanction et l'extinction des poursuites.
• Les photographies prises dans le cadre d'un traitement de médecine esthétique sont qualifiées de données de santé au sens de l'article 9 du RGPD et leur traitement requiert une protection renforcée.
• Le consentement doit être recueilli pour chaque finalité spécifique ; une autorisation donnée pour un usage dans un contexte scientifique ou professionnel (congrès) ne constitue pas une base juridique valide pour une publication sur des plateformes publiques comme les réseaux sociaux.
• La prescription d'une procédure de sanction entraîne son archivage, sans qu'une décision sur le fond des manquements reprochés ne soit rendue, ce qui signifie que l'entreprise n'est ni sanctionnée ni formellement innocentée.