La saga continue : l'autorité espagnole de protection des données a aujourd'hui publié une décision de sanction à l'encontre de la Cámara de Comercio, Industria, Servicios y Navegación de España (Chambre de Commerce d’Espagne), comprenant le prononcé d'une amende totale de 400 000 € pour des manquements liés à la cession illicite de données personnelles d’entrepreneurs individuels à la société CAMERDATA, S.A., en violation du RGPD. Cette affaire débute par une plainte déposée le 27/12/2022 par l’association Institut per a la Cultura Democràtica a L’era Digital, signalant que des données personnelles d’entrepreneurs autonomes, telles que nom, DNI (équivalent du NIF), téléphone, courriel et adresse, issues du recensement des activités économiques de l’Agence Tributaria (AEAT), étaient traitées et rendues accessibles sur Internet via des sites commerciaux, sans base juridique adéquate ni information des personnes concernées.

L’enquête menée par l’autorité a permis de constater :
* Violation du principe de licéité du traitement (article 6.1 du RGPD) : la Cámara de Comercio a cédé à CAMERDATA des données personnelles d’environ 1,5 million d’entrepreneurs, y compris le NIF sous forme de « hash » pseudonymisé, sans disposer d’une base juridique valable pour cette cession à finalité commerciale, contrairement aux obligations légales qui limitent l’usage des données à la gestion du recensement public des entreprises.

* Violation du principe de limitation de la finalité (article 5.1.b du RGPD) : les données, initialement collectées pour l’élaboration et la gestion du recensement public des entreprises à des fins publiques, ont été utilisées à des fins commerciales par CAMERDATA, ce qui constitue un traitement incompatible avec la finalité initiale.

* Violation du principe de confidentialité (article 5.1.f du RGPD) : la transmission du « hash » du NIF, considéré comme un donnée personnelle pseudonymisée susceptible d’être ré-identifiée, n’a pas été accompagnée de mesures suffisantes pour garantir la sécurité et la confidentialité des données, exposant ainsi les personnes concernées à un risque.

* Violation du principe de loyauté et de transparence (article 5.1.a du RGPD) : les entrepreneurs n’ont pas été informés de manière adéquate du traitement de leurs données ni de la cession à CAMERDATA, en contradiction avec les obligations d’information prévues par le RGPD.

* Violation de l’obligation d’information des personnes concernées (article 14 du RGPD) : la Cámara de Comercio n’a pas fourni aux entrepreneurs les informations requises sur le traitement de leurs données, notamment sur la cession à des tiers et les finalités commerciales, ni sur leurs droits.

En conséquence, l’autorité a imposé une amende de 100 000 € pour chacune des infractions mentionnées, soit un total de 400 000 €, à la Cámara de Comercio, Industria, Servicios y Navegación de España. En outre, l’autorité a ordonné à la Cámara de Comercio de mettre fin à la cession des données personnelles des entrepreneurs à CAMERDATA dans un délai d’un mois à compter de la notification de la décision. La Cámara devra également justifier la cessation de cette cession dans ce délai.