L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de GESCONSULT, S.A. S.G.I.I.C. (comprenant le prononcé d'une amende de 3 000 €) pour des manquements en lien avec la communication de données personnelles sans base légale. Cette affaire débute par une plainte concernant la communication à un tiers de l'enregistrement d'une réunion du comité de surveillance d'un fonds d'investissement, sans le consentement des participants.

L’enquête menée par l’autorité a permis de constater :

* Obligation de licéité du traitement (article 6 du RGPD) : L'autorité a constaté que GESCONSULT, en tant que responsable du traitement, avait partagé l'enregistrement vidéo d'une réunion du comité de surveillance d'un fonds, tenue le 28 février 2024, avec deux entités tierces. Bien que les participants aient consenti à l'enregistrement pour les besoins légaux internes du comité, ce consentement ne s'étendait pas à sa communication à des tiers. L'argument selon lequel l'enregistrement constituait le procès-verbal de la réunion a été écarté, le règlement du fonds exigeant la rédaction d'un procès-verbal écrit. La communication des données personnelles (image et voix) des six participants a donc été jugée illicite, faute de base légale appropriée.

En conséquence, l’autorité a imposé une amende de 3 000 € à GESCONSULT, S.A. S.G.I.I.C. Le montant initial de 5 000 € a été réduit de 40 % suite à la reconnaissance de la responsabilité et au paiement volontaire par l'entreprise.

En outre, l’autorité a ordonné à GESCONSULT de mettre en œuvre des mesures correctives pour se conformer à la réglementation et de notifier leur adoption dans un délai de trois mois.