L'autorité espagnole de protection des données (AEPD) a publié une décision sanctionnant EDITORIAL PRENSA CANARIA, S.A. d'une amende de 50 000 € pour avoir diffusé l'enregistrement audio non modifié de la déposition judiciaire d'une victime de violences sexuelles.

Faits et contexte

L'affaire trouve son origine dans la plainte d'un tiers dénonçant la publication, par plusieurs médias dont le mis en cause, de l'enregistrement audio de la déposition judiciaire d'une victime de violences sexuelles pour illustrer un article d'actualité.

Motifs de la décision

L'autorité a retenu un manquement principal à l'encontre de la société :

• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'autorité a jugé que la publication de l'enregistrement audio de la déposition de la victime, sans distorsion de sa voix, constituait un traitement de données excessif. Elle rappelle que la voix est une donnée à caractère personnel au sens de l'article 4, paragraphe 1 du RGPD, car ses caractéristiques uniques permettent d'identifier une personne, s'appuyant notamment sur un arrêt de l'Audience Nationale du 19 mars 2014. Le traitement n'était donc ni adéquat, ni pertinent, ni limité à ce qui était nécessaire au regard de la finalité d'information. En procédant à une mise en balance des intérêts, l'autorité a estimé que le droit à la protection des données de la victime, personne non publique et dans un contexte de grande vulnérabilité, primait sur la liberté d'information, citant à cet égard l'avis 06/2014 du Groupe de Travail Article 29 sur la nécessité d'une évaluation au cas par cas.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 50 000 € à EDITORIAL PRENSA CANARIA, S.A. Le paiement volontaire d'un montant réduit de 40 000 € par l'entreprise a entraîné la clôture de la procédure.

En outre, l'autorité a confirmé les mesures provisoires ordonnant à la société de retirer l'enregistrement audio de son site web ou, à défaut, d'en modifier le contenu pour rendre la voix de la victime non identifiable.

Enseignements

Cette décision rappelle que :

• La voix d'une personne constitue une donnée à caractère personnel dont le traitement, y compris sa diffusion à des fins journalistiques, doit respecter les principes du RGPD.
• Le principe de minimisation s'applique aux activités journalistiques ; la diffusion de données permettant d'identifier une personne, particulièrement une victime vulnérable, doit être strictement nécessaire à la finalité d'information du public.
• Dans la mise en balance entre la liberté d'information et le droit à la protection des données, une attention particulière doit être portée à la vulnérabilité de la personne concernée et à la sensibilité des données, le droit à la protection des données étant susceptible de prévaloir.