L'Agence espagnole de protection des données sanctionne un courtier en données pour la réutilisation commerciale de données de travailleurs indépendants issues du recensement public, en l'absence de base juridique valide et sans information préalable des personnes concernées.

Faits et contexte

L'Agence espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de la société AXESOR, comprenant le prononcé d'une amende de 128 000 €, pour des manquements en lien avec la licéité du traitement et l'obligation d'information des personnes concernées.

L'affaire trouve son origine dans une plainte du 27 décembre 2022, dénonçant la commercialisation à des fins de prospection commerciale des données personnelles de travailleurs indépendants, initialement collectées par l'administration fiscale espagnole (AEAT).

Motifs de la décision

• Obligation de licéité du traitement (article 6, paragraphe 1, du RGPD) : L'autorité a constaté qu'AXESOR traitait et commercialisait les données de 1 665 049 travailleurs indépendants, obtenues indirectement via la société CAMERDATA, qui les recevait elle-même de la Chambre de commerce d'Espagne. Or, la Chambre de commerce ne reçoit ces données de l'administration fiscale que sur la base d'une obligation légale (loi 4/2014) et pour la finalité exclusive d'élaborer le Recensement public des entreprises. L'AEPD a jugé que la réutilisation de ces données par AXESOR à des fins commerciales constituait un détournement de finalité. L'intérêt légitime invoqué par AXESOR a été écarté, l'autorité considérant que les restrictions d'usage imposées par la loi sectorielle prévalent et qu'aucune analyse d'impact démontrant la prépondérance de ses intérêts sur les droits et libertés des personnes concernées, dont le domicile professionnel peut être le domicile privé, n'avait été réalisée.
• Obligation d'information des personnes concernées (article 14 du RGPD) : AXESOR a obtenu les données personnelles de manière indirecte, sans jamais en informer individuellement les travailleurs indépendants concernés. L'AEPD a souligné que cette absence totale d'information a privé les personnes de la connaissance du traitement de leurs données et, par conséquent, de la possibilité d'exercer leurs droits, notamment le droit d'opposition. L'autorité a estimé qu'AXESOR n'avait pas démontré que fournir cette information était impossible ou exigerait un effort disproportionné, violant ainsi le principe de transparence.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 160 000 € à AXESOR, réduite à 128 000 € suite à un paiement volontaire.

En outre, l'autorité a ordonné à AXESOR de cesser le traitement des données concernées et de procéder à leur suppression dans un délai de trois mois.

Enseignements

Cette décision rappelle que :

• Les données collectées par une autorité publique sur la base d'une obligation légale pour une finalité d'intérêt public spécifique ne peuvent être réutilisées par des tiers à des fins commerciales sans une base juridique distincte et valide.
• L'invocation de l'intérêt légitime pour le traitement de données obtenues indirectement impose une analyse d'impact rigoureuse et la mise en place de garanties suffisantes, notamment une information claire permettant aux personnes d'exercer effectivement leur droit d'opposition.
• L'obligation d'information prévue à l'article 14 du RGPD est une condition préalable essentielle à l'exercice des droits des personnes concernées ; son non-respect vicie la licéité du traitement, en particulier lorsque celui-ci est fondé sur l'intérêt légitime.