L'autorité espagnole de protection des données a constaté une violation du principe de minimisation des données par une municipalité, mais a appliqué un régime de sanction spécifique aux organismes publics, se limitant à une déclaration d'infraction sans amende pécuniaire.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision constatant une infraction de la part de la municipalité de Santander pour un manquement en lien avec le principe de minimisation des données.

L'affaire trouve son origine dans la plainte d'un particulier qui a découvert, le 8 novembre 2024, une notification de dénonciation pour infraction au stationnement sur le pare-brise de son véhicule, laquelle contenait ses données personnelles complètes, y compris son nom, ses prénoms et son numéro de document national d'identité.

Motifs de la décision

• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'autorité a constaté qu'un agent de la police locale avait déposé sur un véhicule un bulletin de dénonciation contenant des données personnelles complètes du titulaire du véhicule. Elle a estimé que si la collecte de ces informations est nécessaire pour la procédure de sanction, leur affichage sur un document laissé sur la voie publique est excessif et non nécessaire. La législation nationale en matière de circulation routière prévoit des canaux de notification spécifiques et sécurisés (notification en personne, par voie électronique sécurisée ou à domicile) qui n'ont pas été respectés. En exposant publiquement des données non indispensables à la simple information de l'existence d'une infraction, la municipalité a traité des données de manière non adéquate, non pertinente et non limitée à ce qui est nécessaire au regard de la finalité, violant ainsi le principe de minimisation. La municipalité a reconnu les faits, les attribuant à une erreur humaine lors de l'enregistrement et de la vérification du bulletin.

Décision de l'autorité

En conséquence, l'autorité a déclaré que la municipalité de Santander a enfreint l'article 5, paragraphe 1, point c) du RGPD.

En outre, l'autorité a ordonné que sa décision soit communiquée au Défenseur du peuple et qu'elle soit rendue publique une fois devenue définitive, conformément au régime spécifique applicable aux organismes publics en droit espagnol qui exclut l'imposition d'une amende pécuniaire dans ce cas.

Enseignements

Cette décision rappelle que :

• Le dépôt de documents contenant des données à caractère personnel complètes (nom, numéro d'identification) sur un support exposé au public, tel que le pare-brise d'un véhicule, est contraire au principe de minimisation.
• Le non-respect des procédures de notification prévues par une législation sectorielle spécifique peut caractériser une violation des principes de protection des données.
• La légitimité de la collecte de données pour une finalité donnée n'autorise pas leur communication par des moyens qui les exposent inutilement à des tiers non autorisés.
• L'erreur humaine, bien que reconnue, ne décharge pas le responsable du traitement de sa responsabilité en cas de violation avérée des principes du RGPD.
• Les organismes publics peuvent être soumis à des régimes de sanction nationaux dérogatoires qui, en lieu et place d'une amende administrative, prévoient une déclaration formelle d'infraction et d'autres mesures.