L'Agence Espagnole de Protection des Données (AEPD) a sanctionné un transporteur pour ne pas avoir formalisé de contrat de sous-traitance avec une société exploitant des casiers de livraison, considérant que cette dernière agissait en qualité de sous-traitant et non de responsable de traitement conjoint ou indépendant, malgré l'existence d'un accord en ce sens entre les parties.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de SEUR GEOPOST, S.L.U., comprenant le prononcé d'une amende de 205 000 €, pour des manquements en lien avec la qualification de la relation de sous-traitance et la confidentialité des données.

L'affaire trouve son origine dans la plainte d'une personne dont le colis a été livré par SEUR dans un casier intelligent de la société CITIBOX sans son consentement, impliquant une communication de ses données personnelles à cette dernière.

Motifs de la décision

• Obligation de formaliser la relation entre le responsable du traitement et le sous-traitant par un contrat (article 28 du RGPD) : L'autorité a d'abord analysé la relation entre SEUR et CITIBOX. Bien que les deux sociétés aient signé un accord les qualifiant de responsables de traitement indépendants, l'AEPD a requalifié leur relation. Elle a estimé que SEUR, en tant que société de transport, détermine la finalité (la livraison du colis) et les moyens essentiels du traitement (le choix d'utiliser les casiers CITIBOX comme modalité de livraison). CITIBOX agit donc pour le compte et sur instruction de SEUR pour cette finalité précise, ce qui lui confère la qualité de sous-traitant. L'AEPD s'appuie sur les Lignes directrices 07/2020 du Comité Européen de la Protection des Données (CEPD) pour affirmer que la qualification découle des rôles factuels et non de la simple désignation contractuelle. En l'absence d'un contrat de sous-traitance conforme aux exigences de l'article 28 du RGPD, SEUR a manqué à ses obligations de responsable du traitement.
• Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté que le livreur de SEUR avait communiqué à CITIBOX le nom et le prénom de la plaignante, en plus de son numéro de téléphone. Or, cette communication de données d'identité n'était pas nécessaire à la finalité de la notification de la disponibilité du colis dans le casier, pour laquelle le seul numéro de téléphone suffisait. Cette divulgation non indispensable d'informations personnelles constitue une violation du principe de confidentialité, imputable à SEUR en sa qualité de responsable du traitement.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende d'un montant total de 205 000 € à SEUR GEOPOST, S.L.U., se décomposant en 200 000 € pour la violation de l'article 28 et 5 000 € pour celle de l'article 5, paragraphe 1, point f) du RGPD.

En outre, l'autorité a ordonné à SEUR de régulariser sa relation avec CITIBOX en concluant un contrat de sous-traitance conforme à l'article 28 du RGPD dans un délai de trois mois.

Enseignements

Cette décision rappelle que :

• La qualification de responsable du traitement ou de sous-traitant repose sur une analyse factuelle des rôles de chaque partie, et non sur la simple qualification juridique convenue dans un contrat.
• L'entité qui décide de la finalité d'un traitement (par exemple, la livraison d'un colis) et de ses moyens essentiels (comme le choix de recourir à un service de casiers tiers) doit être considérée comme le responsable du traitement.
• L'absence d'un contrat de sous-traitance conforme à l'article 28 du RGPD entre un responsable du traitement et son sous-traitant constitue une infraction matérielle et non purement formelle.
• Le responsable du traitement demeure responsable des violations du principe de confidentialité commises par ses préposés, y compris lorsqu'ils communiquent des données personnelles non nécessaires à un sous-traitant.