L'autorité espagnole de protection des données (AEPD) a sanctionné une personne physique pour avoir publié sur un réseau social des données personnelles (image, nom, prénom, âge) d'un tiers sans base légale. La décision analyse en détail la mise en balance entre le droit à la protection des données et la liberté d'expression, concluant que la diffusion d'informations relatives à la vie privée d'une personne non publique ne relève pas d'un intérêt général justifiant une telle atteinte.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre d'une personne physique, comprenant le prononcé d'une amende de 1 000 €, pour des manquements en lien avec la publication de données personnelles sur un réseau social sans base légale.

L'affaire a débuté par une enquête d'office de l'autorité, qui a eu connaissance de la diffusion sur la plateforme ***PLATAFORMA.1 de l'identité d'une personne.

Motifs de la décision

• Obligation de disposer d'une base légale pour le traitement (article 6 du RGPD) : L'autorité a constaté que la personne sanctionnée a publié sur son profil de réseau social l'image, le nom, le prénom et l'âge d'une victime, l'associant à un épisode grave de nature privée et sexuelle. L'autorité a estimé que ce traitement de données personnelles ne reposait sur aucune des bases légales énumérées à l'article 6, paragraphe 1, du RGPD, notamment en l'absence de consentement de la personne concernée. Pour écarter la liberté d'expression comme justification, l'autorité s'est appuyée sur le Dictamen 06/2014 du Groupe de l'article 29, ainsi que sur la jurisprudence du Tribunal Suprême espagnol (STS 50/2017) et de la Cour Européenne des Droits de l'Homme (arrêt du 19 juin 2012), concluant que la diffusion de détails de la vie privée de personnes non publiques ne contribue pas à un débat d'intérêt général et que le droit à la protection des données doit prévaloir.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 1 000 € à A.A.A.

En outre, l'autorité a ordonné la suppression définitive du contenu publié, confirmant ainsi la mesure conservatoire initialement adressée à la plateforme ***PLATAFORMA.1.

Enseignements

Cette décision rappelle que :

• La liberté d'expression ne constitue pas une base légale justifiant la publication de données personnelles d'un tiers, surtout lorsque ces informations concernent la vie privée d'une personne non publique et ne contribuent pas à un débat d'intérêt général.
• La personne qui publie des données personnelles sur un profil de réseau social est considérée comme responsable du traitement et doit, à ce titre, s'assurer de disposer d'une base légale valide avant toute diffusion.
• Une autorité de contrôle peut engager une procédure de sanction de sa propre initiative, sans qu'une plainte préalable de la personne concernée ne soit nécessaire, dès lors qu'elle a connaissance d'un manquement potentiel.