L'autorité espagnole sanctionne un média pour avoir diffusé une vidéo d'une agression entre jeunes avec leurs voix non modifiées, considérant que la publication de cette donnée personnelle n'était pas nécessaire à la finalité d'information du public et violait ainsi le principe de minimisation des données.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de la Société Espagnole de Radiodiffusion (comprenant le prononcé d'une amende de 10 000 €) pour des manquements en lien avec le principe de minimisation des données.

L'affaire trouve son origine dans une enquête d'initiative de l'autorité, suite à la publication par le média d'une vidéo violente dans laquelle les voix des agresseurs et de la victime, des mineurs, étaient audibles.

Motifs de la décision

• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'autorité a estimé que la publication des voix non modifiées des mineurs impliqués dans l'agression constituait un traitement de données personnelles excessif. Bien que le droit à l'information puisse justifier la diffusion de la nouvelle, la finalité journalistique n'imposait pas la divulgation des voix, qui sont des données personnelles. L'AEPD a jugé que le média aurait dû appliquer des mesures moins intrusives, comme la distorsion des voix, pour concilier la liberté d'expression avec le droit à la protection des données des personnes concernées, dont l'intérêt supérieur en tant que mineurs exige une protection renforcée. La négligence de la société a été retenue, car elle n'a pas garanti une protection adéquate des données dans des circonstances sensibles, malgré la pixellisation des visages.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 10 000 € à la Société Espagnole de Radiodiffusion.

En outre, l'autorité a ordonné à la société de rendre définitive la mesure de retrait du contenu audiovisuel ou de sa modification pour empêcher toute identification des personnes concernées.

Enseignements

Cette décision confirme que :

• La voix d'une personne constitue une donnée personnelle dont le traitement doit respecter le RGPD, même si d'autres éléments d'identification comme le visage sont masqués.
• Dans le cadre journalistique, le principe de minimisation impose de s'assurer que chaque donnée personnelle diffusée est strictement nécessaire à la finalité d'information, et qu'il n'existe pas de moyen moins intrusif pour atteindre cet objectif.
• Les médias, en tant que responsables de traitement, doivent évaluer en amont les risques pour les droits et libertés des personnes avant de publier du contenu, et ne peuvent se contenter de mesures partielles si d'autres données identifiantes subsistent.
• Le traitement de données personnelles de mineurs, y compris dans un contexte d'information, exige une protection renforcée et une pondération des intérêts où leur intérêt supérieur doit être une considération primordiale.
• Une simple négligence ou un manque de diligence dans l'application des principes de protection des données est suffisant pour caractériser un manquement, sans qu'il soit nécessaire de prouver une intention de nuire.