L'autorité espagnole de protection des données (Agencia Española de Protección de Datos, AEPD) a publié une décision constatant une violation du RGPD à l'encontre de la société QUIRÓN PREVENCIÓN, S.L.U., sans toutefois prononcer d'amende, pour avoir utilisé des données de santé collectées lors d'examens médicaux professionnels afin de proposer des services payants supplémentaires.

Faits et contexte

L'affaire trouve son origine dans plusieurs réclamations déposées par des travailleurs ayant passé un examen médical professionnel dans les centres de QUIRÓN PREVENCIÓN. Suite à ces examens, ils ont reçu, via une application mobile, des messages d'alerte leur signalant des anomalies dans leurs résultats d'analyses et leur proposant de réaliser des examens complémentaires payants, présentés comme un "service privé, indépendant de leur entreprise", dans un délai court correspondant à la durée de validité de l'échantillon sanguin déjà prélevé.

Motifs de la décision

L'autorité a retenu un manquement principal à l'encontre de la société :

• Obligation de limitation des finalités (article 5, paragraphe 1, point b) du RGPD) : L'AEPD a estimé que QUIRÓN PREVENCIÓN a traité les données de santé des travailleurs pour une finalité différente et incompatible avec celle pour laquelle elles avaient été initialement collectées. La finalité initiale, fondée sur l'article 9, paragraphe 2, point h) du RGPD et la législation espagnole sur la prévention des risques professionnels, était la surveillance de la santé des travailleurs. Or, la société a réutilisé ces données pour une finalité secondaire de nature commerciale, à savoir la promotion et la vente de prestations sanitaires privées. L'autorité a jugé que cette nouvelle finalité n'était pas couverte par la base juridique initiale et que, au regard des critères de l'article 6, paragraphe 4, du RGPD, elle était incompatible avec le traitement initial, notamment en raison de la nature sensible des données et de l'exploitation du contexte de leur collecte pour un intérêt lucratif.

Décision de l'autorité

En conséquence, l'autorité a constaté une violation de l'article 5, paragraphe 1, point b) du RGPD par QUIRÓN PREVENCIÓN, S.L.U., mais a décidé de ne pas imposer d'amende administrative. Cette absence de sanction pécuniaire est justifiée par le principe de confiance légitime, l'entreprise ayant pu croire que sa conduite était conforme au droit suite à une décision antérieure de l'AEPD qui avait déclaré irrecevable une réclamation portant sur des faits similaires.

En outre, l'autorité a ordonné à la société, sur le fondement de l'article 58, paragraphe 2, point d) du RGPD, de cesser, dans un délai de trois mois à compter du caractère exécutoire de la décision, d'utiliser les données personnelles collectées dans le cadre de la médecine du travail à des fins différentes, sauf à disposer d'une base juridique valable au titre des articles 6 et 9 du RGPD.

Enseignements

Cette décision rappelle que :

• Les données de santé collectées dans le cadre d'une obligation légale, telle que la surveillance de la santé des travailleurs, ne peuvent être réutilisées pour proposer des services commerciaux payants, ces finalités étant jugées incompatibles.
• La base juridique de la médecine préventive ou du travail (article 9, paragraphe 2, point h) du RGPD) ne légitime que les traitements strictement nécessaires à cette finalité et ne peut être étendue pour couvrir la promotion de prestations sanitaires privées.
• Le principe de confiance légitime peut conduire une autorité à ne pas prononcer d'amende, même en cas de violation avérée, si une de ses décisions antérieures a pu laisser croire au responsable du traitement que sa pratique était conforme, bien que cela n'empêche pas le prononcé d'une injonction corrective.