L'autorité espagnole de protection des données a classé une procédure initiée contre une personne physique pour avoir utilisé les données d'un tiers sans base légale dans une démarche administrative, en raison de l'absence de culpabilité (intention ou négligence) de sa part.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision de classement d'une procédure à l'encontre d'une personne physique pour un traitement de données sans base légale.

L'affaire trouve son origine dans la plainte d'une personne dont les données personnelles (nom, prénom et numéro d'identification fiscale) ont été utilisées sans son consentement pour la présenter comme la partie intéressée dans une démarche administrative auprès d'un ministère.

Motifs de la décision

• Obligation de licéité du traitement (article 6 du RGPD) : L'autorité a constaté que le mis en cause avait utilisé le nom, le prénom et le numéro d'identification fiscale de la plaignante en la désignant comme "partie intéressée" dans un formulaire électronique soumis à une administration, tout en s'inscrivant lui-même comme son "représentant". Ce traitement de données a été effectué sans qu'aucune des bases légales prévues à l'article 6 du RGPD ne soit applicable, notamment le consentement de la personne concernée. Cependant, l'autorité a qualifié cette action d'"erreur manifeste", considérant que le mis en cause avait incorrectement rempli le formulaire : la plaignante était en réalité la destinataire du courrier et non la partie intéressée au sens de la procédure administrative. En application du principe de culpabilité issu du droit administratif espagnol (article 28 de la loi 40/2015), qui exige la présence d'une intention (dolo) ou d'une négligence (culpa) pour sanctionner, l'autorité a estimé que ces éléments n'étaient pas réunis. Compte tenu du caractère ponctuel et erroné de l'acte, elle a conclu à l'absence de responsabilité administrative, bien que le traitement soit objectivement illicite.

Décision de l'autorité

En conséquence, l'autorité a classé la procédure engagée à l'encontre du mis en cause.

Enseignements

Cette décision rappelle que :

• La simple constatation d'un manquement technique au RGPD pourrait ne pas suffire pas à entraîner une sanction administrative ; l'autorité doit également établir l'existence d'une culpabilité (intention ou négligence) de la part du responsable du traitement.
• Le caractère isolé et manifestement erroné d'un traitement de données, résultant d'une mauvaise compréhension d'un formulaire administratif, peut être un facteur déterminant pour exclure la culpabilité du responsable.
• Une personne physique qui détermine les fins et les moyens d'un traitement, même dans le cadre d'une démarche administrative unique et erronée, est qualifiée de responsable du traitement et est tenue de respecter les obligations du RGPD.