L’autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l’encontre de SPORT & SPA GEST, S.L. (NIF B97827778), comprenant le prononcé d’une amende totale de 20 000 € pour des manquements relatifs au traitement de données personnelles dans le cadre de l’utilisation d’un système de suivi des nageurs nommé « DISPOSITIVO.1 » reposant sur la technologie Bluetooth.

Cette affaire débute par une plainte déposée le 6 mai 2023 par un utilisateur, contestant l’obligation d’utiliser un dispositif lié à une pulsera (bracelet) pour accéder à la piscine, et signalant une possible violation de la réglementation sur la protection des données. La plainte a été admise à traitement le 4 août 2023.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 6 du RGPD) : Le traitement des données, incluant l’identifiant du tag Bluetooth, l’identifiant de la pulsera, la date et heure d’accès, ainsi que des données sur la performance sportive (nombre de longueurs, temps de nage), a été réalisé sans base légale valable. La société a invoqué la protection des intérêts vitaux des utilisateurs, mais l’AEPD a estimé que cette base juridique n’était pas applicable, faute de nécessité stricte et d’existence d’une situation d’urgence justifiant ce traitement.

* Obligation d’information et de transparence (article 13 du RGPD) : Les communications initiales aux utilisateurs, notamment celle du 27 avril 2023, étaient incomplètes et erronées, notamment en ne mentionnant pas clairement le traitement des données personnelles ni les finalités, et la communication ultérieure du 26 février 2024, bien que plus détaillée, restait partielle et tardive.

* Obligation de réalisation d’une évaluation d’impact relative à la protection des données (EIPD) (article 35 du RGPD) : Bien que deux EIPD aient été présentées tardivement, elles étaient incomplètes, comportaient des erreurs et ne couvraient pas tous les aspects essentiels, notamment la base légale du traitement, les risques et les mesures d’atténuation. L’absence d’une EIPD conforme constitue une infraction.

En conséquence, l’autorité a imposé une amende globale de 20 000 € à SPORT & SPA GEST, S.L. La société a bénéficié d’une réduction de 20 % pour paiement volontaire, ramenant le montant total à 9 600 €.

En outre, l’autorité a ordonné à la société de réaliser et de valider une nouvelle évaluation d’impact en protection des données dans un délai de six mois à compter de la notification définitive de la décision, et de se conformer aux exigences des articles 6, 9 et 13 du RGPD.