L'autorité espagnole sanctionne un média pour avoir diffusé une vidéo virale montrant l'agression d'un mineur, jugeant que la liberté d'information ne justifie pas une violation du principe de minimisation des données.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de la société DOS MIL PALABRAS SL (comprenant le prononcé d'une amende de 20 000 €) pour des manquements en lien avec la diffusion d'une vidéo permettant l'identification d'un mineur.

L'affaire trouve son origine dans une enquête d'office de l'autorité concernant la publication par un média d'une vidéo montrant l'agression physique d'un homme par un mineur de moins de 16 ans, vidéo qui avait été préalablement diffusée sur les réseaux sociaux.

Motifs de la décision

• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'autorité a estimé que la diffusion de la vidéo, permettant d'identifier le mineur agresseur et sa victime par leur image et leur voix, constituait un traitement de données excessif. Elle a rappelé que si la liberté d'information est un droit fondamental, elle doit être conciliée avec le droit à la protection des données, conformément à l'article 85 du RGPD et au considérant 4. Se fondant sur la jurisprudence du Tribunal européen des droits de l'homme (notamment l'arrêt du 19 juin 2012, recours 1593/2006) et des tribunaux espagnols (STC 27/2020 et Sentencia 777/2021), l'autorité a conclu que la diffusion de l'image de personnes non publiques, et a fortiori de mineurs, n'était ni nécessaire ni proportionnée pour informer sur l'événement. Le fait que la vidéo ait été préalablement viralisée sur les réseaux sociaux n'exonère pas le responsable de sa propre obligation de minimiser les données traitées.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 20 000 € à DOS MIL PALABRAS SL.

En outre, l'autorité a ordonné à la société de mettre en œuvre, sous trois mois, des mesures correctrices pour garantir le respect du principe de minimisation, notamment en cessant définitivement le traitement ou en appliquant des techniques empêchant toute identification.

Enseignements

Cette décision confirme que :

• La diffusion préalable de données personnelles sur les réseaux sociaux, même à grande échelle, n'exonère pas un responsable de traitement de ses propres obligations au titre du RGPD lorsqu'il les traite à son tour.
• Dans le cadre journalistique, la liberté d'information ne justifie la diffusion d'images ou de voix de personnes identifiables que si ce traitement est strictement nécessaire et proportionné à la finalité d'information, ce qui doit être évalué au cas par cas.
• La protection des données des mineurs est renforcée et prime généralement sur l'intérêt du public à être informé, limitant strictement la possibilité de diffuser des informations permettant leur identification, même s'ils sont auteurs d'infractions.
• Les organes de presse agissent en tant que responsables de traitement et doivent, avant toute publication, s'assurer de la licéité du traitement, notamment en réalisant une analyse de risques et en appliquant les principes du RGPD, dont celui de minimisation.