L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre du FÚTBOL CLUB BARCELONA, comprenant le prononcé d'une amende de 500 000 €, pour des manquements liés à l'obligation de réaliser une analyse d'impact relative à la protection des données pour la mise à jour du recensement de ses membres via un système biométrique. Cette affaire débute par une plainte déposée par un membre, signalant le caractère obligatoire d'un processus numérique de mise à jour du recensement qui incluait la collecte de données biométriques faciales et vocales.

L’enquête menée par l’autorité a permis de constater :

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : Le club a mis en place des traitements de données biométriques (reconnaissance faciale et vocale) pour la mise à jour du recensement de ses 143 000 membres, incluant des mineurs. L'autorité a jugé qu'une analyse d'impact était obligatoire car plusieurs critères de risque élevé étaient réunis : traitement à grande échelle, utilisation de nouvelles technologies, traitement de données de personnes vulnérables et prise de décision automatisée ayant des effets significatifs, comme la perte potentielle du statut de membre. Les analyses de risques fournies par le club ont été jugées insuffisantes, car elles ont été réalisées après la signature des contrats avec les prestataires, manquaient de détails, ne justifiaient pas leurs conclusions de risque faible et ne constituaient donc pas une analyse d'impact valide.

En conséquence, l’autorité a imposé une amende de 500 000 € au FÚTBOL CLUB BARCELONA. La procédure a abouti au classement de l'infraction initialement reprochée au titre de l'article 9 du RGPD, la sanction ne portant que sur le manquement à l'article 35.