L'Autorité de protection des données (APD) a publié une décision de sanction à l'encontre de la Société Wallonne des Eaux (SWDE), comprenant le prononcé d'une amende totale de 86 000 €, pour des manquements liés à l'enregistrement d'appels téléphoniques à des fins de contrôle qualité et de formation. Cette affaire débute par une plainte déposée le 16 avril 2020 par un collaborateur, signalant l'enregistrement systématique des appels entrants et sortants ainsi qu'un défaut d'information sur ce traitement de données personnelles.

L’enquête menée par l’autorité a permis de constater :

* Obligation de licéité du traitement (article 5, paragraphe 1, point a) du RGPD et article 6 du RGPD) : L'autorité a jugé que les trois enregistrements "tests" réalisés au sein du Service Contentieux étaient illicites. Elle a estimé que ce service, en raison de son faible volume d'appels et de la nature de ses activités de gestion de dossiers complexes, ne pouvait être qualifié de "centre d'appels" au sens de l'exception prévue par la loi sur les communications électroniques (LCE). En l'absence de cette exception et de consentement valablement recueilli auprès des appelants, ces enregistrements ne disposaient d'aucune base légale.

* Obligation de transparence et d'information (article 5, paragraphe 1, point a) du RGPD, article 12 du RGPD et article 13 du RGPD) : L'information fournie aux collaborateurs et aux appelants externes a été jugée insuffisante. Pour les collaborateurs, la communication était fragmentée sur de multiples supports et incomplète au regard des exigences du RGPD. Pour les appelants, le message préenregistré diffusé jusqu'au 25 octobre 2022 ne contenait pas les informations essentielles et ne renvoyait pas clairement vers une politique de confidentialité complète et accessible, notamment pour les personnes sans accès à internet.

* Obligation de faciliter l'exercice des droits (article 12, paragraphe 2 du RGPD) : Jusqu'au 25 octobre 2022, la société n'avait pas mis en place de mesures techniques ou organisationnelles appropriées pour permettre aux appelants de s'opposer facilement à l'enregistrement de la conversation avant son commencement. Les appelants n'étaient pas informés de ce droit et devaient en faire la demande expresse à l'agent, une fois l'appel déjà en cours d'enregistrement.

* Obligation d'encadrer la relation avec le sous-traitant (article 28, paragraphe 3 du RGPD) : Pour la période de janvier 2019 à décembre 2023, la société a eu recours à un prestataire de service pour la gestion des enregistrements sans qu'un contrat ou un autre acte juridique écrit, conforme aux exigences du RGPD, n'ait été formalisé pour encadrer cette relation de sous-traitance.

* Obligation de limitation de la conservation (article 5, paragraphe 1, point e) du RGPD) : Les enregistrements téléphoniques ont été conservés au-delà de la durée maximale d'un mois autorisée par la législation applicable aux centres d'appels. La société a reconnu que son système ne garantissait pas l'effacement des données dans le délai légal jusqu'à la mise en place d'une nouvelle solution technique le 26 janvier 2024.

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : L'autorité a constaté l'absence d'analyse d'impact préalable au lancement du traitement d'enregistrement des appels en 2018. Une telle analyse était requise, notamment en raison de la surveillance des communications des employés, considérés comme des personnes vulnérables.

* Obligation de notifier les violations de données (article 33 du RGPD) : La société n'a pas notifié à l'autorité une violation de données résultant d'une mauvaise configuration du système, qui a conduit à l'enregistrement involontaire d'appels sortants. Cet accès non autorisé à des communications confidentielles a été qualifié de violation de données.

En conséquence, l’autorité a imposé une amende de 86 000 € à la Société Wallonne des Eaux.

En outre, l’autorité a ordonné à la société de mettre ses modalités d'information des appelants en conformité dans un délai de quatre mois, notamment en s'assurant que les personnes sans accès à internet puissent également obtenir les informations requises.