L'Autorité de protection des données (APD) a publié une décision prononçant une réprimande à l'encontre de la commune Y1 et de son bourgmestre Y2 pour des manquements liés à l'utilisation de données de contact à des fins de marketing direct et à l'insuffisance des moyens alloués au délégué à la protection des données (DPO).

Cette affaire débute par une plainte déposée le 24 avril 2024, signalant le traitement illicite de données de contact à des fins de marketing direct par la commune et son bourgmestre. Le plaignant a par la suite retiré sa plainte le 4 décembre 2024, indiquant qu'elle était en partie d'inspiration politique.

L’enquête menée par l’autorité a permis de constater :

* Obligation de licéité, loyauté, transparence et limitation des finalités (article 5, paragraphe 1, point a) et article 6 du RGPD) : Le bourgmestre a utilisé des listes de contacts de la commune, comprenant 992 destinataires, pour envoyer depuis son adresse de courriel fonctionnelle une invitation à la présentation de son livre personnel. L'autorité a qualifié cette communication de marketing direct pour un projet commercial privé, sans lien avec les missions d'intérêt public de la commune. Ce traitement pour une finalité nouvelle et incompatible a été jugé dépourvu de base légale, la communication ne relevant pas des attentes raisonnables des personnes concernées.

* Obligation d'information et de transparence (articles 12 et 14 du RGPD) : Le bourgmestre n'a pas fourni les informations requises aux personnes concernées concernant ce traitement. La politique de confidentialité de la commune ne prévoyait pas la réutilisation des données de contact pour du marketing direct ou leur traitement par des tiers, et l'envoi depuis l'adresse de courriel fonctionnelle du bourgmestre a été jugé potentiellement trompeur.

* Obligation de fournir les ressources nécessaires au délégué à la protection des données (article 38, paragraphe 2 du RGPD) : Il a été constaté que la commune n'a pas alloué des ressources suffisantes à son DPO entre novembre 2023 et décembre 2024. Celui-ci occupait simultanément un poste à temps plein d'expert en communication, ce qui ne lui a pas permis de disposer du temps nécessaire pour accomplir ses missions, notamment celle de conseiller la commune et son bourgmestre sur la non-conformité du traitement en question.

En conséquence, l'autorité a prononcé une réprimande à l'encontre du bourgmestre et de la commune.
n outre, l’autorité a ordonné au bourgmestre de cesser immédiatement le traitement des données de contact à des fins de marketing direct et lui a interdit de le poursuivre.