L'autorité espagnole de protection des données sanctionne un organe de presse pour avoir publié une vidéo non anonymisée d'une agression impliquant un mineur, jugeant que le principe de minimisation des données a été violé, et ce, malgré la viralité préalable de la vidéo.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de la société EL LEÓN DE EL ESPAÑOL PUBLICACIONES, S.A. (comprenant le prononcé d'une amende de 20 000 €) pour des manquements en lien avec la publication d'une vidéo permettant d'identifier les participants à une agression, dont un mineur.

L'affaire trouve son origine dans une enquête d'office initiée par l'AEPD concernant la diffusion, par le site d'information de la société et ses comptes sur les réseaux sociaux, d'une vidéo montrant une agression physique, sans qu'aucune mesure technique n'ait été appliquée pour empêcher l'identification de la victime et de l'agresseur, qui était mineur.

Motifs de la décision

L'autorité a retenu un manquement au RGPD :

• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'autorité ne conteste pas la légitimité du traitement à des fins journalistiques, mais analyse la proportionnalité des données traitées. Elle estime que la diffusion de la vidéo sans anonymiser les visages de la victime et du mineur était excessive et non nécessaire pour atteindre l'objectif d'information. L'argument de la société selon lequel la vidéo était déjà virale avant sa publication a été rejeté, l'autorité considérant que cette circonstance n'exonère pas le responsable du traitement de ses propres obligations. En procédant à la publication, la société a contribué à une diffusion plus large des données, agissant avec négligence en n'utilisant pas les techniques disponibles pour protéger l'identité des personnes concernées, en particulier au regard de l'intérêt supérieur du mineur. L'autorité a procédé à une mise en balance entre la liberté d'information et le droit à la protection des données, concluant que la divulgation de l'identité des personnes n'était pas essentielle à la compréhension de l'affaire, citant la jurisprudence de la Cour européenne des droits de l'homme (notamment l'arrêt *Hachette Filipacchi Associés c. France*, n° 71111/01).

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 20 000 € à la société EL LEÓN DE EL ESPAÑOL PUBLICACIONES, S.A.

En outre, l'autorité a ordonné à la société d'adopter, dans un délai de trois mois, les mesures techniques et organisationnelles nécessaires pour garantir le respect du principe de minimisation des données, notamment en ce qui concerne la publication d'informations relatives à des mineurs, et de cesser définitivement le traitement en retirant le contenu litigieux.

Enseignements

Cette décision rappelle que :

• La viralité préalable d'un contenu sur internet ne dispense pas un responsable du traitement, qui le rediffuse, de ses propres obligations au titre du RGPD, notamment celle de respecter le principe de minimisation.
• L'exercice de la liberté d'information doit être mis en balance avec le droit à la protection des données, et la diffusion de données personnelles identifiantes doit être strictement nécessaire et proportionnée à la finalité informative poursuivie.
• La protection des données personnelles des mineurs bénéficie d'une protection renforcée, imposant une vigilance particulière au responsable du traitement lors de la pondération des droits et libertés en jeu.
• Les responsables du traitement, en particulier les médias, doivent mettre en œuvre les mesures techniques disponibles (anonymisation, floutage) pour concilier la finalité informative avec la protection des droits des personnes, conformément au principe de protection des données dès la conception.