L'autorité espagnole sanctionne un éditeur de presse pour avoir diffusé une vidéo identifiant un mineur et une victime, jugeant que l'intégration de contenu tiers constitue un traitement de données soumis au principe de minimisation, même au nom de la liberté d'information.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de 20 MINUTOS EDITORA, S.L. (comprenant le prononcé d'une amende de 30 000 €) pour des manquements en lien avec le principe de minimisation des données.

L'affaire trouve son origine dans une enquête d'office de l'autorité concernant la publication, le 1er octobre 2023, d'un article de presse en ligne contenant une vidéo qui montrait l'agression d'une personne sans abri par un mineur.

Motifs de la décision

L'autorité a retenu un manquement à l'encontre de l'éditeur de presse :

• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'autorité a estimé que la diffusion de la vidéo, permettant l'identification claire de la victime et de l'agresseur mineur, était excessive au regard de la finalité d'information. En intégrant cette vidéo à son site, l'éditeur est devenu responsable d'un traitement de données, comme le confirme la jurisprudence de la Cour de Justice de l'Union européenne (arrêt du 22 juin 2023, C-579/21), et ne pouvait se prévaloir d'un simple rôle d'intermédiaire technique. L'autorité a rejeté l'argument selon lequel le consentement du mineur pouvait être déduit de son regard vers la caméra, rappelant que le consentement doit être libre, spécifique, éclairé et univoque (article 4, point 11 du RGPD) et que la charge de la preuve incombe au responsable du traitement (article 7, paragraphe 1 du RGPD et considérant 42). La publication de ces images n'était ni nécessaire ni proportionnée pour informer sur les faits, violant ainsi le principe de minimisation.

Pour fixer le montant de l'amende, l'autorité a considéré comme circonstance aggravante le fait que l'entité avait déjà été sanctionnée pour une infraction similaire à l'article 5, paragraphe 1, point c) du RGPD (procédure PS/00158/2022), conformément à l'article 83, paragraphe 2, point e) du RGPD.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 30 000 € à 20 MINUTOS EDITORA, S.L.

En outre, l'autorité a ordonné à l'éditeur de cesser définitivement le traitement, de retirer le contenu litigieux et d'adopter, sous trois mois, des mesures techniques et organisationnelles pour garantir le respect du principe de minimisation, notamment en empêchant l'identification des personnes dans des publications similaires.

Enseignements

Cette décision rappelle que :

• L'intégration de contenu audiovisuel provenant de tiers (comme les réseaux sociaux) sur un site de presse constitue un traitement de données personnelles dont l'éditeur du site est le responsable.
• Le droit à la liberté d'information doit être mis en balance avec le droit à la protection des données et ne justifie pas la diffusion d'images permettant d'identifier des personnes, en particulier des mineurs, si cette identification n'est pas strictement nécessaire à l'information du public.
• Le consentement au traitement de son image ne peut être déduit du comportement d'une personne (tel que regarder une caméra), mais doit résulter d'une manifestation de volonté libre, spécifique, éclairée et univoque, dont la preuve incombe au responsable du traitement.
• Les organes de presse doivent appliquer le principe de minimisation des données en recourant à des mesures techniques (floutage, pixellisation) pour empêcher l'identification de personnes lorsque la diffusion de leur image n'est pas indispensable à la finalité journalistique.