L'Agence espagnole de protection des données (AEPD) a sanctionné une personne physique pour avoir diffusé sans base légale des photographies intimes d'une autre personne sur plusieurs sites internet. La procédure a été clôturée après que le responsable a reconnu sa responsabilité et procédé au paiement volontaire d'une amende réduite.

Faits et contexte

L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre d'une personne physique, comprenant le prononcé d'une amende de 10 000 €, pour des manquements en lien avec la diffusion non autorisée d'images intimes sur internet.

L'affaire trouve son origine dans la plainte d'une personne signalant la création de faux profils à son nom et la publication en ligne d'images d'elle nue.

Motifs de la décision

L'autorité de contrôle a retenu un manquement principal à l'encontre de la personne mise en cause :

• Obligation de disposer d'une base juridique pour le traitement (article 6 du RGPD) : L'autorité a constaté que des photographies montrant le visage et le corps nu de la plaignante avaient été diffusées sur 89 liens, principalement sur des sites à caractère érotique ou pornographique, la rendant identifiable. L'autorité a qualifié ces images de données à caractère personnel et leur diffusion de traitement. Elle a considéré la personne mise en cause comme responsable du traitement, car elle en a déterminé les finalités et les moyens. L'enquête n'ayant permis d'établir aucune des conditions de licéité prévues, notamment le consentement de la personne concernée, l'autorité a conclu à une violation de l'obligation de disposer d'une base juridique.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 10 000 € à A.A.A. Le montant a été ramené à 6 000 € après application d'une réduction de 40 % pour reconnaissance de responsabilité et paiement volontaire.

En outre, l'autorité avait ordonné à titre provisoire la cessation immédiate du traitement des données, mesure qui a été respectée par la personne sanctionnée et levée dans la décision finale.

Enseignements

Cette décision rappelle que :

• La diffusion en ligne d'une photographie d'une personne identifiable, même sans son nom, constitue un traitement de données à caractère personnel soumis aux exigences du RGPD, notamment celle de reposer sur une base juridique valide.
• Une personne physique qui décide de publier des données concernant un tiers et en détermine les modalités (par exemple, en les téléchargeant sur des sites web) est considérée comme un responsable du traitement et est tenue de respecter l'ensemble des obligations qui en découlent.
• Les procédures de sanction de l'autorité espagnole prévoient des mécanismes de réduction significative de l'amende (ici, 40 %) en cas de reconnaissance de la responsabilité et de paiement volontaire, ce qui peut constituer une stratégie de résolution pour les mis en cause.