L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de YOTI LTD, comprenant le prononcé d'une amende de 950 000 €, pour des manquements liés au traitement de données biométriques, aux conditions du consentement et à la limitation de la conservation des données. Cette affaire débute par une enquête d'office de l'autorité concernant les services de vérification d'âge proposés par la société, notamment via son application "Identité Numérique".

L’enquête menée par l’autorité a permis de constater :

* Traitement de catégories particulières de données (article 9 du RGPD) : La société traite des données biométriques via son application "Identité Numérique" en créant un gabarit biométrique facial à partir d'un scan du visage de l'utilisateur. L'autorité a estimé que cette opération, visant à identifier de manière unique une personne physique, constitue un traitement de catégories particulières de données. Or, la société n'a pas démontré que ce traitement reposait sur l'une des exceptions prévues à l'article 9, paragraphe 2 du RGPD, violant ainsi l'interdiction de principe.

* Conditions applicables au consentement (article 7 du RGPD) : Le consentement des utilisateurs pour le traitement de leurs données à des fins de recherche et développement internes était recueilli au moyen d'une case pré-cochée. L'autorité a jugé que ce mécanisme ne respectait pas les exigences d'un consentement actif, libre, spécifique, éclairé et univoque, car les paramètres par défaut autorisaient ce traitement secondaire sans action positive de l'utilisateur.

* Limitation de la conservation (article 5, paragraphe 1, point e) du RGPD) : La société conservait les données des comptes, y compris les données biométriques, tant que le compte était actif, puis pendant une période de trois ans d'inactivité. De même, les données de géolocalisation étaient conservées pendant cinq ans. L'autorité a considéré que ces durées de conservation étaient excessives et n'étaient pas limitées à ce qui est nécessaire au regard des finalités pour lesquelles les données ont été initialement collectées, notamment la vérification ponctuelle de l'âge.

En conséquence, l'autorité a imposé une amende de 950 000 € à YOTI LTD.

En outre, l’autorité a ordonné à la société de mettre ses traitements de données en conformité avec le RGPD dans un délai de six mois, notamment en ce qui concerne le traitement des données biométriques et les durées de conservation.