L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de PINKGREEN BARCELONA, S.L. (comprenant le prononcé d'une amende de 4 000 €) pour des manquements en lien avec la publication de données personnelles en réponse à des avis publiés en ligne. Cette affaire débute par deux plaintes signalant que l'entreprise avait répondu à des avis négatifs sur Google en divulguant des données personnelles concernant les plaignantes et des tiers.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 6 du RGPD) : L'entreprise a divulgué, dans ses réponses publiques à des avis sur Google, des données personnelles (nom complet, université) de plusieurs personnes. L'autorité a considéré que la publication de données personnelles, même si elles sont extraites d'un profil de réseau social, constitue un traitement qui requiert une base légale. En l'absence de consentement ou de toute autre base légale valide, ce traitement était illicite.

* Interdiction du traitement de catégories particulières de données (article 9 du RGPD) : L'entreprise a également publié des informations relatives à l'orientation sexuelle des plaignantes et de leurs partenaires. L'autorité a souligné que ces données de catégorie particulière sont protégées par une interdiction de traitement et qu'aucune des exceptions prévues par le RGPD, notamment celle des données rendues manifestement publiques par la personne concernée, ne s'appliquait. La publication intentionnelle de ces données sensibles sur une plateforme à large audience a été retenue comme un manquement grave.

En conséquence, l’autorité a imposé une amende de 4 000 € à PINKGREEN BARCELONA, S.L.
En outre, l’autorité a ordonné à l'entreprise de supprimer, dans un délai de dix jours, les données personnelles publiées dans les réponses aux avis.