L'autorité espagnole de protection des données a sanctionné la Fédération royale espagnole de football pour avoir systématiquement exigé un certificat de scolarité en plus d'un certificat de résidence pour l'inscription de joueurs mineurs étrangers, alors que la réglementation de la FIFA ne présente ces documents que comme des alternatives, violant ainsi le principe de minimisation des données.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de la Fédération royale espagnole de football (RFEF) (comprenant le prononcé d'une amende de 100 000 €) pour des manquements en lien avec le principe de minimisation des données lors de l'inscription de joueurs mineurs.

L'affaire trouve son origine dans la plainte d'une mère dont la fille mineure s'est vu réclamer un certificat de scolarité en plus d'un certificat de résidence pour obtenir une licence de football, une exigence qu'elle a jugée excessive.

Motifs de la décision

• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'autorité a constaté que pour inscrire des joueurs mineurs étrangers résidant en Espagne depuis au moins cinq ans, la RFEF exigeait systématiquement la fourniture d'un certificat de résidence et d'un certificat de scolarité. La RFEF justifiait cette double exigence par une pratique consolidée de la Fédération internationale de football association (FIFA) visant à protéger les mineurs. Cependant, l'analyse par l'AEPD du "Guide pour la présentation des demandes concernant les joueurs mineurs" de la FIFA (versions 2020 et 2026) a révélé que ces deux documents sont présentés comme des moyens alternatifs, et non cumulatifs, pour prouver une résidence ininterrompue de cinq ans. En exigeant les deux documents alors qu'un seul suffisait au regard de la réglementation applicable, la RFEF a collecté des données personnelles qui n'étaient pas nécessaires à la finalité du traitement, violant ainsi le principe de minimisation.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 100 000 € à la Fédération royale espagnole de football.

En outre, l'autorité a ordonné à la fédération d'ajuster ses procédures d'inscription dans un délai de deux mois afin de se conformer au principe de minimisation des données.

Enseignements

Cette décision rappelle que :

• La collecte cumulative de documents présentés comme alternatifs par une réglementation sectorielle pour prouver un même fait constitue une violation du principe de minimisation des données.
• Un responsable du traitement ne peut se retrancher derrière une prétendue "pratique consolidée" d'une organisation faîtière pour justifier une collecte de données excessive, surtout lorsque les règles écrites officielles de cette même organisation ne l'imposent pas.
• La faible valeur probante d'un document ne justifie pas automatiquement la collecte systématique d'un second document si ce dernier n'est pas strictement nécessaire dans tous les cas pour atteindre la finalité poursuivie.