L'autorité espagnole de protection des données a sanctionné la Direction Générale de la Police pour des manquements graves concernant le traitement de données biométriques aux contrôles frontaliers, notamment une information insuffisante des voyageurs et l'absence d'une analyse d'impact conforme.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision à l'encontre de la Direction Générale de la Police pour des manquements en lien avec l'information des personnes et la réalisation d'une analyse d'impact relative à la protection des données dans le cadre des contrôles biométriques aux frontières.

L'affaire trouve son origine dans la plainte d'une voyageuse qui s'est vu imposer, le 15 mars 2024, l'utilisation d'un système de contrôle biométrique à l'aéroport d'Alicante sans recevoir aucune information sur ce traitement de données ni sur ses droits.

Motifs de la décision

L'autorité a retenu que les traitements de données effectués par les autorités compétentes à des fins de prévention et de détection des infractions pénales, ou de protection contre les menaces à la sécurité publique, ne relèvent pas du RGPD, comme le précise son considérant 19, mais de la Directive (UE) 2016/680, transposée en droit espagnol par la loi organique 7/2021. Les manquements ont donc été analysés au regard de cette loi spécifique.

• Obligation d'informer les personnes concernées (article 21 de la loi organique 7/2021) : L'autorité a constaté que la plaignante n'a reçu aucune information sur le traitement de ses données biométriques lors du contrôle frontalier. Elle a estimé que la simple publication du registre des activités de traitement sur un site internet ne suffit pas à remplir l'obligation d'information, qui doit être effective au moment et au lieu de la collecte des données. L'absence de procédures permettant aux agents de fournir ces informations et l'omission de cette information empêchent les personnes d'exercer leurs droits, ce qui constitue une violation qualifiée de très grave par l'article 58, paragraphe f), de la même loi.
• Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 de la loi organique 7/2021) : L'autorité a jugé que l'analyse d'impact fournie par la police était lacunaire et non conforme. Le document ne contenait pas d'analyse des risques, de description du cycle de vie des données, de mesures de sécurité détaillées, et n'avait pas été réalisé avant le début du traitement. Compte tenu du traitement à grande échelle (environ 25 millions de personnes) de données biométriques, cette omission constitue une violation qualifiée de grave par l'article 59, paragraphe l), de la loi.

Décision de l'autorité

En conséquence, l'autorité a constaté que la Direction Générale de la Police a commis une infraction très grave à l'article 21 et une infraction grave à l'article 35 de la loi organique 7/2021.

En outre, l'autorité a ordonné à la Direction Générale de la Police de mettre en œuvre, dans un délai de trois mois, les mesures correctrices suivantes : inclure les informations requises par la loi dans les documents remis aux passagers aux frontières, et réaliser une analyse d'impact complète et conforme pour le traitement de données concerné.

Enseignements

Cette décision rappelle que :

• La publication d'un registre des activités de traitement sur un site internet ne dispense pas le responsable du traitement de son obligation de fournir une information claire et accessible aux personnes concernées au moment et au lieu de la collecte de leurs données.
• Une analyse d'impact relative à la protection des données doit être un document matériel et complet, évaluant concrètement les risques pour les droits et libertés des personnes et détaillant les mesures prévues pour y remédier ; un document formel et lacunaire ne satisfait pas à cette exigence légale.
• Les traitements de données effectués par les autorités policières à des fins de prévention et de détection des infractions pénales, y compris aux frontières, ne relèvent pas du RGPD mais d'un régime juridique spécifique (la Directive 2016/680 et sa transposition nationale), qui impose des obligations distinctes et strictes.