L'Autorité de protection des données belge a publié une décision ordonnant des mesures correctrices à l'encontre d'un club de fitness pour des manquements en lien avec la gestion du consentement pour le marketing direct et l'information des personnes concernées.

Cette affaire débute par la plainte d'un membre du club, signalant la réception de courriels promotionnels pour des événements non liés aux activités du club, sans y avoir consenti.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité et de limitation des finalités (article 5, paragraphe 1, points a et b du RGPD et article 6 du RGPD) : Le responsable de traitement a utilisé l'adresse électronique d'un membre, qui avait consenti à recevoir des nouvelles du club de fitness, pour lui adresser des communications de marketing direct concernant des événements musicaux. L'autorité a jugé que le consentement initial, donné pour des actualités liées aux activités sportives, ne couvrait pas cette nouvelle finalité. Ce traitement ultérieur a été considéré comme incompatible avec la finalité originale pour laquelle les données avaient été collectées.

* Obligation de transparence et d'information (article 12 du RGPD et article 13, paragraphe 3 du RGPD) : Le responsable de traitement n'a pas informé le plaignant, avant le traitement ultérieur, que ses données seraient utilisées pour une finalité différente de celle pour laquelle elles avaient été collectées. De plus, il a été constaté que la politique de confidentialité mentionnée dans le contrat d'adhésion ne décrivait pas les traitements relatifs aux données des membres du club, se limitant à ceux effectués via le site internet.

En conséquence, l'autorité a enjoint au responsable de traitement de mettre ses opérations en conformité.

En outre, l’autorité a ordonné au club de mettre en conformité, dans un délai d'un mois, ses pratiques de marketing direct par courriel en obtenant un consentement spécifique pour chaque finalité, et de mettre à jour sa politique de confidentialité pour y inclure de manière détaillée tous les traitements de données, notamment ceux des membres.