L'Agence espagnole de protection des données (AEPD) a sanctionné un établissement d'hébergement pour avoir exigé une copie recto verso du document d'identité de ses clients pour l'enregistrement, jugeant cette pratique contraire au principe de minimisation des données.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de la société ***EMPRESA.2 SL, comprenant le prononcé d'une amende de 4 000 €, pour des manquements en lien avec le principe de minimisation des données.

L'affaire trouve son origine dans la plainte d'une personne à qui il a été demandé d'envoyer par courriel une copie recto verso de son document d'identité pour procéder à l'enregistrement dans un hébergement le 8 novembre 2023. La procédure a initialement été ouverte contre une autre entité, ***EMPRESA.1, avant d'être redirigée vers ***EMPRESA.2 SL, qui avait repris la gestion de l'établissement avant les faits.

Motifs de la décision

• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'autorité a constaté que la société exigeait des clients une copie recto verso de leur document national d'identité (DNI) ou passeport. Elle a rappelé que si la réglementation sectorielle espagnole (notamment l'Ordre INT/1922/2003 et le Décret royal 933/2021) impose aux hébergements de collecter certaines données d'identification des voyageurs, elle ne légitime en aucun cas la collecte d'une copie complète du document. Par conséquent, cette collecte a été jugée excessive et non nécessaire au regard de la finalité de l'enregistrement des voyageurs. L'autorité a qualifié la conduite de l'entreprise de négligente, soulignant son refus de proposer une alternative moins intrusive, et a relevé le risque inutile créé pour les droits et libertés des personnes, notamment le risque d'usurpation d'identité. Pour évaluer la gravité, l'AEPD s'est référée aux Lignes directrices 04/2022 du Comité européen de la protection des données, qui classent les numéros d'identification nationaux parmi les catégories de données méritant une attention particulière.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 4 000 € à ***EMPRESA.2 SL.

En outre, l'autorité a ordonné à la société, sur le fondement de l'article 58, paragraphe 2, point d) du RGPD, de mettre en conformité ses pratiques dans un délai d'un mois en adoptant des mesures pour recueillir les données légalement requises sans exiger de copie du document d'identité.

Enseignements

Cette décision rappelle que :

• L'existence d'une obligation légale de collecte de certaines informations d'identification ne justifie pas en soi la collecte d'une copie intégrale du document qui les contient ; le responsable de traitement doit privilégier la méthode la moins intrusive.
• La collecte d'une copie d'un document d'identité officiel, tel qu'une carte nationale d'identité, est considérée comme un traitement à risque élevé en raison du potentiel d'usurpation d'identité, et sa nécessité doit être rigoureusement démontrée.
• Le refus de considérer des alternatives moins attentatoires à la vie privée proposées par la personne concernée, comme une vérification visuelle sur place, peut être retenu comme un élément de négligence aggravant la responsabilité du responsable de traitement.