L'Agence espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre d'IBERINFORM, comprenant le prononcé d'une amende de 1 000 000 €, pour des manquements en lien avec le traitement de données personnelles de travailleurs indépendants sans base légale valide et le non-respect de l'obligation d'information.
Cette affaire, désormais bien connue dans la mesure où toutes les parties prenantes ont été sanctionnées, débute par une plainte signalant que les données personnelles de travailleurs indépendants, initialement collectées par l'Agence fiscale espagnole (AEAT) pour le recensement des activités économiques, étaient rendues publiques et utilisées à des fins commerciales par plusieurs entités.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 6 du RGPD) : IBERINFORM a traité les données personnelles de plus de 1,6 million de travailleurs indépendants, obtenues via CAMERDATA, à des fins commerciales et d'enrichissement de ses propres bases de données. L'autorité a jugé que la base légale de l'intérêt légitime invoquée n'était pas valide, car la loi espagnole (Loi 4/2014) encadrant la collecte initiale des données par l'administration fiscale limitait leur usage à des fonctions publiques spécifiques et interdisait leur cession à des tiers à des fins commerciales. La réutilisation des données, notamment des identifiants uniques comme le NIF, pour des finalités de prospection et d'analyse commerciale a été jugée incompatible avec la finalité de la collecte initiale.
* Obligation d'information des personnes concernées (article 14 du RGPD) : La société n'a pas informé individuellement les travailleurs indépendants du traitement de leurs données, obtenues indirectement. L'autorité a rejeté l'argument de l'effort disproportionné (article 14, paragraphe 5, point b) du RGPD), estimant qu'IBERINFORM n'avait pas démontré l'impossibilité de fournir l'information ni évalué des mesures alternatives efficaces. Les clauses informatives générales publiées sur certains sites web ont été jugées insuffisantes pour garantir que les personnes concernées aient une connaissance effective du traitement, les privant ainsi de la possibilité d'exercer leurs droits.

En conséquence, l’autorité a imposé une amende de 1 000 000 € à IBERINFORM.
En outre, l’autorité a ordonné à la société de cesser le traitement des données concernées et de procéder à leur suppression dans un délai de trois mois.