L'Agence Espagnole de Protection des Données sanctionne l'organisateur du Congrès Mondial de la Téléphonie Mobile pour avoir exigé une copie intégrale des pièces d'identité des participants, jugeant cette collecte excessive au regard du principe de minimisation, indépendamment de l'existence d'une option de vérification biométrique basée sur le consentement.

Faits et contexte

L'Agence Espagnole de Protection des Données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de GSMA LIMITED, comprenant le prononcé d'une amende de 50 000 € (réduite à 40 000 €) pour des manquements en lien avec la collecte excessive de données d'identité lors de l'inscription à l'événement Congrès Mondial de la Téléphonie Mobile 2023.

L'affaire trouve son origine dans une plainte transmise le 10 août 2023 par l'Autorité Catalane de Protection des Données, dénonçant l'obligation pour les participants de télécharger une copie de leur pièce d'identité et une photographie pour pouvoir s'inscrire et accéder à l'événement.

Motifs de la décision

L'autorité a analysé les processus de vérification d'identité mis en place pour les 99 998 personnes inscrites à l'événement. Pour finaliser leur inscription, les participants devaient obligatoirement faire valider leur identité en téléchargeant une copie de leur passeport ou de leur carte nationale d'identité, ainsi qu'une photographie d'eux-mêmes. Deux options étaient ensuite proposées : une validation manuelle par des agents (prenant jusqu'à 72 heures) ou une validation automatisée par reconnaissance faciale (nommée BREEZ), nécessitant un consentement explicite. L'autorité a conclu à une violation sur le point suivant :

• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'AEPD a jugé que l'exigence de télécharger une copie intégrale de la pièce d'identité était excessive et non nécessaire au regard de la finalité de vérification de l'identité des participants. L'autorité souligne que des données non pertinentes pour cet objectif, telles que la signature, l'âge ou d'autres informations visibles sur le document, étaient collectées sans justification. En s'appuyant sur les Lignes directrices 01/2022 du Comité Européen de la Protection des Données (CEPD), elle rappelle que la collecte d'une copie complète d'un document d'identité crée des risques de sécurité importants et que seuls les champs de données strictement nécessaires à l'identification auraient dû être traités. Le fait que cette collecte soit un prérequis obligatoire pour les deux parcours de validation (manuel et biométrique) constitue une violation du principe de minimisation.

Concernant la potentielle violation de l'obligation de réaliser une analyse d'impact (article 35 du RGPD), l'autorité a classé l'affaire. Elle a constaté que les données en question (jetons biométriques et copies des pièces d'identité) avaient été supprimées les 3 et 13 mars 2023, soit très peu de temps après l'événement. La procédure de sanction ayant été initiée le 16 avril 2025, l'AEPD a considéré que l'infraction était prescrite, l'obligation étant intrinsèquement liée à la durée du traitement.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 50 000 € à GSMA LIMITED, dont le montant final a été fixé à 40 000 € suite à un paiement volontaire.

Enseignements

Cette décision rappelle que :

• La collecte d'une copie intégrale d'une pièce d'identité est généralement considérée comme excessive si la finalité de vérification d'identité peut être atteinte avec un sous-ensemble de données (par exemple, nom, prénom, numéro du document).
• L'obtention d'un consentement explicite pour un traitement de données à haut risque, comme la biométrie, ne dispense pas le responsable du traitement de respecter le principe de minimisation pour les étapes de collecte de données en amont.
• Le caractère obligatoire d'une collecte de données jugée excessive constitue une violation, même si des mesures de sécurité robustes sont mises en place et que les durées de conservation sont courtes.
• Une alternative à un traitement de données doit être présentée de manière claire et facilement accessible pour l'utilisateur, ce qui n'est pas le cas d'une option dissimulée derrière un bouton d'aide général.
• L'infraction relative à l'absence d'analyse d'impact (AIPD) peut être considérée comme prescrite si le traitement a cessé et que les données ont été supprimées bien avant l'ouverture de la procédure de sanction par l'autorité.