Une sanction de 1 600 € a été prononcée à l'encontre d'un restaurateur pour l'utilisation de témoins de connexion non essentiels sans consentement préalable, l'absence d'option de refus et une information insuffisante, la procédure ayant été clôturée après la mise en conformité rapide et le paiement volontaire de l'amende.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de BEGIN RESTAURANTES, S.L. (comprenant le prononcé d'une amende de 1 600 €) pour des manquements en lien avec l'utilisation de témoins de connexion sur son site internet.

L'affaire trouve son origine dans la plainte d'un particulier déposée le 27 mai 2023, concernant plusieurs manquements, notamment l'impossibilité de refuser les témoins de connexion et leur installation avant l'obtention du consentement.

Motifs de la décision

• Obligation d'obtenir le consentement avant le dépôt de témoins de connexion non essentiels (article 22.2 de la loi espagnole 34/2002) : Les inspections menées par l'autorité les 20 septembre et 18 octobre 2023 ont révélé que, dans un premier temps, des témoins de connexion non techniques étaient déposés sur le terminal de l'utilisateur dès sa première visite sur le site, avant toute action de sa part. De plus, le bandeau informatif ne proposait pas de mécanisme simple pour refuser ces témoins, ne laissant que l'option de les accepter. L'autorité a conclu que cette pratique contrevenait à l'exigence d'un consentement préalable et éclairé, constituant une infraction qualifiée de légère au regard de l'article 38.4 g) de cette même loi.

Décision de l'autorité

En conséquence, l'autorité a prononcé une amende de 2 000 €, ramenée à 1 600 € après application d'une réduction pour paiement volontaire. Le règlement de cette somme par l'entreprise le 16 novembre 2023, avant la résolution finale, a entraîné la clôture de la procédure.

Enseignements

Cette décision confirme que :

• L'absence d'un mécanisme de refus des témoins de connexion aussi simple à utiliser que le mécanisme d'acceptation vicie le consentement de l'utilisateur.
• Le dépôt de témoins de connexion non essentiels sur le terminal d'un utilisateur avant l'obtention de son consentement constitue une infraction, même si la navigation se poursuit.
• La coopération avec l'autorité et la mise en conformité rapide des dispositifs non conformes sont des facteurs atténuants pouvant conduire à une réduction de la sanction et à une clôture anticipée de la procédure.