L'autorité espagnole de protection des données a classé une procédure initiée contre VODAFONE ESPAÑA, S.A.U., estimant que l'élément de culpabilité de l'entreprise ne pouvait être établi dans une affaire de modification non autorisée de la titularité de lignes téléphoniques, en raison de la relation préexistante et des déclarations contradictoires de la personne concernée.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision de classement d'une procédure ouverte à l'encontre de VODAFONE ESPAÑA, S.A.U. pour un manquement allégué à l'obligation de disposer d'une base légale pour le traitement.

L'affaire a débuté par une plainte déposée le 10 octobre 2023 par une personne physique qui reprochait à l'opérateur d'avoir transféré la titularité de quatre de ses lignes téléphoniques et de deux lignes de fibre optique à un tiers sans son consentement.

Motifs de la décision

La procédure de sanction avait été ouverte pour un unique manquement potentiel :

• Obligation de licéité du traitement (article 6, paragraphe 1 du RGPD) : Il était reproché à Vodafone d'avoir procédé, en mars 2023, à un changement de titulaire sur plusieurs contrats sans le consentement de la personne concernée. L'opération, réalisée par un agent dans la boutique d'un distributeur, a consisté à remplacer les données personnelles du plaignant par celles d'un tiers dans la fiche client. Vodafone a reconnu que l'agent n'avait pas respecté la procédure interne exigeant l'autorisation du titulaire initial, qualifiant l'incident d'erreur ponctuelle et isolée. Ce traitement, effectué en l'absence de toute base légale apparente, a justifié l'ouverture d'une procédure par l'AEPD.

Décision de l'autorité

Toutefois, l'autorité a décidé de classer la procédure sans sanction. L'enquête a révélé des éléments indiquant une relation préexistante entre le plaignant et le tiers bénéficiaire du changement, ce dernier utilisant et payant déjà certaines des lignes concernées. De plus, un enregistrement d'appel au service client du 2 juin 2023 montrait que le plaignant avait demandé la restitution de deux lignes seulement, acceptant que les autres services restent au nom de la nouvelle titulaire. L'autorité a donc estimé qu'il ne s'agissait pas d'une usurpation d'identité et que, compte tenu de ces ambiguïtés, l'élément subjectif de culpabilité de Vodafone ne pouvait être établi avec certitude, ce qui est une condition nécessaire pour prononcer une sanction.

Enseignements

Cette décision rappelle que :

• L'existence d'une relation préexistante entre la personne concernée et le tiers bénéficiaire d'un traitement de données non autorisé peut conduire une autorité à nuancer la responsabilité du responsable du traitement.
• Les actions ou déclarations contradictoires de la personne concernée, notamment son acceptation partielle d'un traitement initialement contesté, peuvent être retenues par l'autorité pour écarter la culpabilité du responsable du traitement.
• Pour prononcer une sanction, l'autorité de contrôle doit établir l'élément subjectif de culpabilité ; en l'absence de certitude sur les faits et les intentions des parties, une procédure peut être classée sans suite.