L'autorité norvégienne de protection des données a émis une réprimande et des injonctions correctives à l'encontre d'une chaîne de salles de sport pour avoir imposé la prise d'une photographie de ses membres en se fondant sur une base juridique incorrecte et en ne respectant pas le droit d'opposition.

Faits et contexte

L'autorité norvégienne de protection des données (Datatilsynet) a aujourd'hui publié une décision de réprimande et d'injonction à l'encontre de SATS pour des manquements en lien avec l'obligation d'enregistrer une photographie des membres pour accéder à ses installations.

L'affaire trouve son origine dans 26 plaintes reçues entre mai et novembre 2025 de la part de membres norvégiens et finlandais s'opposant à cette exigence de photographie, utilisée par le personnel pour vérifier l'identité des membres lors de leur enregistrement. L'affaire a été traitée selon la procédure de coopération transfrontalière, l'autorité norvégienne agissant en tant qu'autorité de contrôle chef de file.

Motifs de la décision

• Obligation de fournir une information transparente sur la base juridique du traitement (article 13, paragraphe 1 du RGPD) : SATS informait ses membres que la collecte de leur photographie reposait sur la nécessité pour l'exécution du contrat d'adhésion, conformément à l'article 6, paragraphe 1, point b du RGPD. L'autorité a estimé que cette base juridique était incorrecte, car la photographie n'est pas indispensable à la finalité principale du contrat, à savoir l'accès aux centres de remise en forme. Cet accès étant déjà permis par la lecture d'une carte de membre, le traitement de la photographie ne pouvait être considéré comme "nécessaire" au sens strict. L'autorité a conclu que la base juridique appropriée était l'intérêt légitime (article 6, paragraphe 1, point f du RGPD).
• Obligation d'informer sur le droit d'opposition (article 13, paragraphe 2 du RGPD) : En se fondant sur une base juridique erronée, SATS a manqué à son obligation d'informer clairement les membres de leur droit de s'opposer au traitement, droit qui découle de la base de l'intérêt légitime. L'entreprise communiquait que la photographie était obligatoire, sauf pour des cas très spécifiques (comme les policiers ou les personnes bénéficiant d'une identité protégée), ce qui donnait aux membres l'impression que leur droit d'opposition était bien plus limité que ce que prévoit le RGPD.
• Obligation de respecter le droit d'opposition (article 21, paragraphe 1 du RGPD) : L'autorité a relevé que SATS avait rejeté des demandes d'opposition de ses clients sans apporter la preuve, comme l'exige le RGPD, de l'existence de motifs légitimes et impérieux pour la poursuite du traitement qui prévalent sur les intérêts, les droits et les libertés des personnes concernées.

Décision de l'autorité

En conséquence, l'autorité a prononcé une réprimande à l'encontre de SATS.

En outre, l'autorité a ordonné à SATS de se mettre en conformité avant le 11 septembre 2026. L'entreprise doit notamment informer correctement ses membres de la base juridique du traitement (intérêt légitime), de leurs droits, et en particulier du droit de s'opposer au traitement, de manière claire et distincte. Elle doit également répondre à toutes les demandes d'opposition non traitées et soit cesser le traitement, soit démontrer l'existence de motifs légitimes et impérieux pour le poursuivre.

Enseignements

Cette décision rappelle que :

• La notion de "nécessité à l'exécution d'un contrat" (article 6, paragraphe 1, point b) doit être interprétée de manière stricte et se limiter aux traitements indispensables à la réalisation de la prestation principale prévue au contrat.
• Lorsqu'un traitement est utile à l'activité mais non indispensable à l'exécution du contrat, l'intérêt légitime (article 6, paragraphe 1, point f) constitue une base juridique plus appropriée, sous réserve d'effectuer une mise en balance des intérêts.
• Le recours à l'intérêt légitime comme base juridique impose d'informer les personnes de manière claire et visible de leur droit de s'opposer au traitement à tout moment.
• Le rejet d'une demande d'opposition doit être motivé et s'appuyer sur la démonstration de "motifs légitimes et impérieux" qui prévalent sur les droits de la personne.
• Une communication qui donne aux personnes concernées l'impression que leurs droits sont plus restreints qu'ils ne le sont en réalité constitue un manquement à l'obligation de transparence.