Un sous-traitant qui, pour répondre à un exercice du droit d'opposition, crée et gère une liste d'exclusion applicable à l'ensemble de ses clients (responsables du traitement) agit en qualité de responsable du traitement pour cette finalité propre et doit disposer d'une base juridique distincte et valide, ce qui n'est pas le cas en l'espèce.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de CITIBOX SMART SERVICES, S.L., comprenant le prononcé d'une amende de 5 000 €, pour avoir traité des données personnelles sans base juridique valide dans le cadre de la gestion d'une liste d'exclusion.

L'affaire trouve son origine dans la plainte d'une personne dont le colis a été déposé dans un casier intelligent sans son consentement, entraînant la communication de ses données personnelles par le transporteur à l'opérateur des casiers.

Motifs de la décision

L'autorité a analysé la relation entre le transporteur, SEUR, et l'opérateur de casiers intelligents, CITIBOX, pour déterminer leurs rôles respectifs. Elle a conclu que pour le service de livraison de colis, SEUR déterminait la finalité et les moyens essentiels, agissant en tant que responsable du traitement, tandis que CITIBOX agissait en tant que sous-traitant. Le manquement sanctionné ne porte cependant pas sur cette prestation initiale, mais sur un traitement ultérieur mis en œuvre par CITIBOX.

• Obligation de licéité du traitement (article 6, paragraphe 1, du RGPD) : Suite à l'exercice de son droit d'opposition par la plaignante, CITIBOX a inclus son numéro de téléphone dans une "liste d'exclusion" globale. Cette liste visait à empêcher toute future livraison dans ses casiers, quel que soit le transporteur partenaire. L'autorité a considéré que la gestion de cette liste constituait une nouvelle finalité de traitement, définie par CITIBOX pour ses propres besoins et non sur instruction de SEUR. Pour ce traitement spécifique, CITIBOX agissait donc en qualité de responsable du traitement. Or, la société ne disposait d'aucune base juridique valide pour cette opération ; l'intérêt légitime qu'elle invoquait a été jugé irrecevable, car le traitement était précisément effectué à l'encontre de la volonté exprimée par la personne concernée et conservait ses données pour une durée indéfinie. L'autorité a notamment cité les Lignes directrices 07/2020 du Comité Européen de la Protection des Données (CEPD) pour distinguer les rôles de responsable et de sous-traitant en fonction des circonstances factuelles.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 5 000 € à CITIBOX SMART SERVICES, S.L. Ce montant a été réduit à 4 000 € suite au paiement volontaire de la société.

En outre, l'autorité a ordonné à CITIBOX, dans un délai de six mois, de supprimer de sa liste d'exclusion les numéros de téléphone (ou les identifiants pseudonymisés dérivés) des utilisateurs non-enregistrés provenant des livraisons de SEUR et de mettre ses opérations de traitement en conformité avec le RGPD.

Enseignements

Cette décision rappelle que :

• La qualification de sous-traitant n'est pas absolue ; un prestataire agissant pour une finalité qu'il a lui-même définie, distincte de celle de son client, devient responsable de ce traitement spécifique et doit en assumer toutes les obligations.
• La constitution d'une liste d'exclusion pour gérer les oppositions des personnes concernées est une activité de traitement à part entière qui requiert sa propre base juridique.
• L'intérêt légitime ne peut servir de base juridique à un traitement de données effectué précisément pour gérer l'opposition d'une personne, car il est par nature contraire à ses intérêts et attentes légitimes.
• La qualification des rôles (responsable du traitement ou sous-traitant) dépend des circonstances factuelles et du contrôle réel sur les finalités et moyens du traitement, et non de la seule qualification contractuelle retenue par les parties.