L'Agence Espagnole de Protection des Données a publié une décision de sanction à l'encontre d'une personne physique exploitant un établissement de restauration, comprenant le prononcé d'une amende de 2 000 € pour des manquements en lien avec l'utilisation de son système de vidéosurveillance et la diffusion non autorisée d'images.
Cette affaire débute par une plainte déposée le 1er juin 2023, signalant que des images issues du système de vidéosurveillance d'un restaurant, montrant un vol dont le plaignant était victime, avaient été diffusées sur Facebook sans son consentement.

L’enquête menée par l’autorité a permis de constater :
* Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : Le système de vidéosurveillance de l'établissement réalisait une captation jugée disproportionnée. Les caméras filmaient directement les tables des clients et la zone du bar, ce que l'autorité a considéré comme une ingérence excessive et une collecte de données non minimisée dans un contexte de loisir, où le consentement n'avait pas été recueilli pour un enregistrement continu.

* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : La publication de l'enregistrement vidéo sur Facebook a entraîné une perte de confidentialité des données personnelles du plaignant, son image ayant été exposée à des tiers non autorisés. L'autorité a conclu que l'absence de mesures techniques et organisationnelles appropriées a permis ce traitement illicite et cette diffusion non contrôlée des images captées par le système.

En conséquence, l’autorité a imposé une amende de 2 000 € à la personne physique responsable de l'établissement.
En outre, l’autorité a ordonné au responsable de traitement de mettre en œuvre des mesures correctives dans un délai d'un mois, notamment en réorientant les caméras pour éviter une captation généralisée et en empêchant l'accès non autorisé aux enregistrements afin d'éviter leur diffusion.