L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de ARES CAPITAL, S.A. (comprenant le prononcé d'une amende de 280 000 €) pour des manquements en lien avec le traitement des données personnelles de ses employés conducteurs via des applications mobiles. Cette affaire débute par une plainte signalant que l'entreprise obligeait ses employés conducteurs à utiliser leur propre téléphone mobile et à y installer plusieurs applications permettant une surveillance continue de leur activité et de leur localisation.

L’enquête menée par l’autorité a permis de constater :
* Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : Il a été constaté que la société imposait à ses employés d'installer sur leurs téléphones personnels des applications collectant une quantité excessive de données. Celles-ci incluaient la localisation en temps réel, des photos, des vidéos, des informations personnelles, des contacts, des enregistrements audio et des données de santé et de forme physique, excédant ce qui est strictement nécessaire à l'exécution du contrat de travail.

* Obligation de licéité du traitement (article 6 du RGPD) : L'entreprise exigeait l'installation des applications sur les téléphones personnels des employés comme une condition pour exercer leurs fonctions. L'autorité a estimé que, compte tenu du déséquilibre dans la relation de travail et du fait que la fourniture d'un téléphone d'entreprise était soumise à la disponibilité des ressources, le consentement des employés ne pouvait constituer une base juridique valide pour ce traitement de données.

* Obligation d'information des personnes concernées (article 13 du RGPD) : La société n'a pas suffisamment informé ses employés sur les traitements de données effectués. Les informations fournies étaient incomplètes concernant l'étendue des données collectées par les applications et sur la possibilité de se déconnecter de ces systèmes en dehors des heures de travail.

En conséquence, l’autorité a imposé une amende de 280 000 € à ARES CAPITAL, S.A..

En outre, l’autorité a ordonné à la société de mettre ses traitements en conformité dans un délai de deux mois, notamment en garantissant la minimisation des données, en s'appuyant sur une base juridique valide et en fournissant une information complète à ses employés.