L'autorité italienne de protection des données a infligé une amende de 2 000 000 € à un courtier en données américain pour avoir collecté et vendu illégalement les données de personnes en Italie, affirmant sa compétence sur la base du critère de suivi du comportement prévu par le RGPD.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de Lusha Systems Inc. (comprenant le prononcé d'une amende de 2 000 000 €) pour des manquements en lien avec la collecte et la commercialisation de données personnelles sans base légale appropriée.

L'affaire trouve son origine dans une enquête de l'autorité sur les activités de la société, un courtier en données américain qui fournit, via sa plateforme payante, des informations professionnelles "enrichies" (telles que la fonction, les adresses électroniques et les numéros de téléphone) sur un grand nombre de personnes, y compris des personnalités institutionnelles et des membres des forces de l'ordre.

Motifs de la décision

L'autorité a retenu plusieurs violations du RGPD, en développant un raisonnement sur sa compétence territoriale et sur le fond des traitements :

• Compétence territoriale de l'autorité (article 3 du RGPD) : L'autorité a affirmé sa compétence à l'égard de la société américaine, bien que celle-ci soit dépourvue d'établissement dans l'Union. Elle a estimé que le traitement relevait du critère du suivi du comportement, car la société ne se contente pas de collecter des informations professionnelles mais procède également à leur mise à jour et à leur contrôle dans le temps, ce qui constitue un véritable suivi des personnes concernées sur internet, qualifié de "traçage" par l'autorité.
• Violation des principes fondamentaux du traitement (article 5 du RGPD) : L'autorité a conclu que les activités de la société violaient les principes de licéité, de loyauté, de transparence et de minimisation des données. La collecte massive d'informations à partir de sources multiples, incluant le moissonnage de réseaux sociaux et l'achat auprès d'autres courtiers, a été jugée contraire à ces exigences fondamentales.
• Absence de base légale appropriée (article 6 du RGPD) : L'autorité a jugé que l'intérêt légitime invoqué par la société ne constituait pas une base légale valide pour la collecte et la commercialisation des données. Le traitement, qui concernait un nombre élevé de personnes sur le territoire italien, a donc été considéré comme illicite depuis son origine.
• Manquement à l'obligation de transparence (article 12 du RGPD) : L'information fournie aux personnes concernées sur le traitement de leurs données n'était ni claire ni facilement accessible. Cette défaillance a empêché les personnes de comprendre et de contrôler l'usage fait de leurs informations personnelles.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 2 000 000 € à Lusha Systems Inc.

En outre, l'autorité a ordonné à la société d'interdire tout traitement des données personnelles des personnes présentes sur le territoire italien et de procéder à leur suppression.

Enseignements

Cette décision rappelle que :

• le suivi du comportement au sens du RGPD ne se limite pas à un suivi en temps réel, mais peut inclure la collecte, la mise à jour et le contrôle continus d'informations sur des personnes, même si ces informations sont d'ordre professionnel.
• l'intérêt légitime d'un courtier en données ne peut généralement pas constituer une base légale valide pour la collecte massive et la commercialisation de données personnelles, en particulier lorsque les données sont obtenues par des techniques comme le moissonnage de données.
• une entreprise établie hors de l'Union européenne qui collecte et enrichit des données relatives à des personnes dans l'Union est soumise au RGPD dès lors que ses activités constituent un suivi de leur comportement.
• l'obligation de transparence impose de fournir une information claire et accessible aux personnes concernées, y compris lorsque leurs données sont collectées auprès de sources tierces, afin qu'elles puissent exercer un contrôle effectif sur leurs informations.