L'autorité espagnole de protection des données a sanctionné une personne physique pour avoir publié une vidéo de sa fille mineure sur une plateforme en ligne, en l'absence de toute base légale, la mère ayant été déchue de son autorité parentale.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre d'une personne physique (comprenant le prononcé d'une amende de 1 500 €) pour des manquements en lien avec la publication non autorisée d'une vidéo exposant sa fille mineure.

L'affaire trouve son origine dans une plainte déposée par la Direction Générale de l'Enfance, de la Famille et de la Promotion de la Natalité, agissant en tant que représentante légale d'une mineure, concernant la diffusion d'une vidéo sur une plateforme en ligne.

Motifs de la décision

L'autorité a retenu le manquement suivant :

• Absence de base légale pour le traitement (article 6 du RGPD) : L'autorité a constaté que la mère de la mineure, dont l'autorité parentale était suspendue, avait publié une vidéo de plus de 8 minutes sur une plateforme en ligne. Cette vidéo identifiait clairement l'enfant et relatait des circonstances personnelles liées à sa tutelle et à ses souffrances. L'AEPD a qualifié cette diffusion de traitement de données à caractère personnel et a conclu qu'il ne reposait sur aucune des bases de licéité prévues par le RGPD. En particulier, le consentement du représentant légal de la mineure faisait défaut, et aucune autre justification, telle qu'un intérêt vital, une obligation légale ou un intérêt public, ne pouvait être invoquée. Le fait que la vidéo ait été visionnée 130 fois avant son retrait a été pris en compte.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 1 500 € à la mère de la mineure.

En outre, l'autorité a ordonné que les mesures provisoires, qui avaient conduit au retrait de la vidéo par la plateforme, deviennent définitives afin de protéger durablement les droits et libertés de la mineure.

Enseignements

Cette décision confirme / précise / rappelle que :

• La diffusion d'une vidéo montrant une personne identifiable sur une plateforme en ligne constitue un traitement de données à caractère personnel soumis au RGPD, même lorsqu'elle est réalisée par un particulier, si elle sort du cadre strictement personnel ou domestique.
• Le consentement pour le traitement des données d'un mineur doit être donné par le titulaire de l'autorité parentale ; un parent déchu de ses droits parentaux ne peut valablement consentir au nom de son enfant.
• Les autorités de contrôle peuvent ordonner des mesures provisoires efficaces, telles que le retrait de contenus en ligne, pour faire cesser rapidement une violation et protéger les droits des personnes concernées, en particulier les plus vulnérables.
• Une sanction peut être prononcée même pour une diffusion à portée limitée, la gravité de l'atteinte aux droits d'une personne vulnérable pouvant primer sur l'ampleur de l'audience.