Cette décision de l'autorité espagnole constitue l'une des premières applications de son guide sur le traitement des neurodonnées, en sanctionnant une entreprise spécialisée dans ce domaine pour des manquements relatifs à la base juridique des traitements, aux obligations en tant que sous-traitant et à la réalisation de l'évaluation d'impact sur la protection des données.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de BIT&BRAIN TECHNOLOGIES S.L. (comprenant le prononcé d'une amende de 4 800 €) pour des manquements en lien avec le traitement de neurodonnées.

L'affaire trouve son origine dans une enquête d'office ouverte par l'autorité, suite à des informations sur les activités de neurotechnologie de l'entreprise, notamment la commercialisation de dispositifs et logiciels traitant des données neurologiques.

Motifs de la décision

• Obligation de disposer d'une base juridique valide (article 6 du RGPD) : L'autorité a constaté que pour son activité de "Service", où elle agit en tant que responsable du traitement, l'entreprise se fondait sur le consentement des participants. Cependant, ce consentement n'était ni spécifique, car il ne distinguait pas les différentes finalités comme la réalisation de l'étude et l'amélioration interne des algorithmes, ni suffisamment informé, omettant de mentionner le traitement de données biométriques ou le droit de retirer son consentement. Se référant aux Lignes directrices 5/2020 du Comité européen de la protection des données (CEPD) sur le consentement, l'autorité a conclu à l'invalidité de la base juridique.
• Obligation de régir la sous-traitance par un contrat (article 28 du RGPD) : Pour son activité "Laboratoire", l'entreprise agissait en tant que sous-traitant pour ses clients. Elle recourait elle-même à des sous-traitants ultérieurs (Amazon et DigitalOcean) pour le traitement des données sur sa plateforme en nuage. L'autorité a relevé que l'entreprise n'avait ni obtenu l'autorisation préalable et écrite des responsables de traitement pour ce recours, en violation de l'article 28, paragraphe 2, du RGPD, ni formalisé de contrat avec ces sous-traitants ultérieurs leur imposant les mêmes obligations, comme l'exige l'article 28, paragraphe 4, du RGPD.
• Obligation de réaliser une évaluation d'impact complète (article 35 du RGPD) : Bien qu'une évaluation d'impact relative à la protection des données (EIPD) ait été réalisée en 2019, l'autorité l'a jugée substantiellement lacunaire. L'analyse de la nécessité et de la proportionnalité était insuffisante, n'envisageant pas d'alternatives moins intrusives au traitement de neurodonnées. L'évaluation des risques était superficielle et les mesures d'atténuation décrites comme génériques. Enfin, l'avis du délégué à la protection des données, nommé en 2023, n'avait pas été sollicité pour une mise à jour de l'EIPD, en méconnaissance de l'article 35, paragraphe 2, du RGPD.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 4 800 € à BIT&BRAIN TECHNOLOGIES S.L., après application d'une réduction de 40 % pour reconnaissance de responsabilité et paiement volontaire.

En outre, l'autorité a ordonné à l'entreprise de mettre ses traitements en conformité sous 3 mois, notamment en établissant une base juridique valide pour chaque finalité, en formalisant ses relations de sous-traitance et en réalisant une nouvelle évaluation d'impact qui remédie aux lacunes identifiées.

Enseignements

Cette décision rappelle que :

• Le traitement de signaux physiologiques (électroencéphalogramme, réponse galvanique de la peau) permettant d'inférer des états émotionnels ou cognitifs est susceptible d'être qualifié de traitement de données de santé ou biométriques, ce qui impose une vigilance accrue sur la base juridique et la réalisation d'une EIPD rigoureuse.
• Le consentement recueilli pour une finalité principale, telle que la participation à une étude, doit être clairement distingué de celui recueilli pour des finalités secondaires, comme l'amélioration d'algorithmes. Le regroupement de ces finalités invalide le consentement pour défaut de spécificité.
• Un sous-traitant ne peut se prévaloir d'une qualification erronée des données (anonymes au lieu de pseudonymisées) pour s'exonérer de ses obligations au titre de l'article 28 du RGPD, notamment celle d'obtenir l'autorisation du responsable du traitement avant de recourir à un sous-traitant ultérieur.