L'Agence Espagnole de Protection des Données (AEPD) a publié une décision prononçant un avertissement à l'encontre de JULIA SERVICIOS PSICOMÉDICOS SL pour un manquement lié à l'absence de base légale pour l'envoi de prospection commerciale par voie postale.

Faits et contexte

L'affaire trouve son origine dans la plainte d'une personne physique ayant reçu, le 3 mai 2024, un courrier postal publicitaire de la part de la société, opérant sous le nom de CENTRE MÉDICAL ALTASA. Ce courrier, qui utilisait des logos et une graphie pouvant prêter à confusion avec une communication officielle de la Direction Générale de la Circulation (DGT), informait le plaignant de l'expiration prochaine de son permis de conduire et lui proposait ses services pour le renouvellement.

Motifs de la décision

• Obligation de disposer d'une base légale pour le traitement (article 6 du RGPD) : L'autorité a constaté que la société avait traité les données personnelles du plaignant (nom, prénom, adresse) pour lui adresser une offre commerciale. Pour justifier ce traitement, la société a invoqué l'intérêt légitime, se fondant sur une relation professionnelle antérieure datant du 1er juillet 2009, date à laquelle le plaignant avait renouvelé son permis dans son centre. L'AEPD a rejeté cet argument, considérant qu'une relation commerciale achevée quinze ans auparavant ne pouvait constituer une base légale valide pour un nouveau traitement à des fins de prospection en 2024. L'autorité a souligné que la communication avait un caractère clairement commercial et qu'en l'absence de consentement ou de toute autre base légale pertinente prévue à l'article 6, paragraphe 1, du RGPD, le traitement était illicite.

Décision de l'autorité

En conséquence, l'autorité a adressé un avertissement à JULIA SERVICIOS PSICOMÉDICOS SL.

En outre, l'autorité a ordonné à la société de mettre en place, dans un délai de trois mois, les mesures nécessaires pour garantir que tout traitement de données personnelles repose sur une base légale valide, telle que le consentement exprès et spécifique des personnes concernées.

Enseignements

Cette décision rappelle que :

• Une relation commerciale passée ne peut justifier indéfiniment un traitement de données à des fins de prospection sur la base de l'intérêt légitime, surtout après une longue période d'inactivité.
• L'évaluation de l'intérêt légitime doit impérativement prendre en compte les attentes raisonnables des personnes concernées, lesquelles s'amenuisent avec le temps écoulé depuis le dernier contact.
• La qualification d'une communication (informative ou commerciale) dépend de son contenu et de sa finalité réels, et non de la dénomination que lui donne le responsable du traitement pour tenter de la légitimer.