L'autorité suédoise de protection des données a jugé que des exemptions nationales, même constitutionnelles, ne sauraient faire échec à l'application du RGPD pour des services de recherche de personnes, en vertu du principe de primauté du droit de l'Union, notamment lorsque l'activité ne poursuit pas une finalité journalistique.

Faits et contexte

L'autorité suédoise de protection des données (IMY) a publié quatre décisions de sanction à l'encontre des sociétés Legal Newsdesk Sweden AB (opérant le service Lexbase), Fuplex AB (opérant le service Krimfup), Nusvar AB (opérant le service MrKoll) et Upplysning Checknode AB (opérant le service Upplysning), comprenant le prononcé de réprimandes pour des manquements liés au traitement de données relatives aux infractions pénales et au droit à l'effacement.

L'origine de l'affaire réside dans environ 3 800 plaintes reçues par l'autorité concernant les services de recherche proposés par ces quatre sociétés.

Motifs de la décision

L'autorité a d'abord analysé le conflit entre le droit national suédois et le droit de l'Union. Les quatre sociétés bénéficient en Suède d'une protection constitutionnelle par le biais de "certificats de publication volontaire", qui, selon la réglementation suédoise, les exempte de l'application du RGPD. Cependant, l'IMY a estimé que ces exemptions nationales allaient au-delà de ce que le droit de l'Union autorise. Constatant que les services de recherche ne sont pas exploités à des fins journalistiques et s'appuyant sur une jurisprudence récente de la Cour suprême suédoise et de la Cour de justice de l'Union européenne, l'autorité a conclu que le droit de l'Union devait prévaloir et que le RGPD était donc applicable.

• Obligation relative au traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions (article 10 du RGPD) : L'autorité a constaté que les sociétés Legal Newsdesk Sweden AB et Fuplex AB traitaient des données relatives à des infractions pénales sans base légale appropriée. En vertu du principe de primauté, l'IMY a écarté l'exemption nationale et jugé que ces traitements, qui permettaient des recherches par nom, numéro d'identification personnel et adresse, violaient les exigences de l'article 10 du RGPD.
• Obligation de respecter le droit à l'effacement (article 17 du RGPD) : Concernant les sociétés Nusvar AB et Upplysning Checknode AB, l'autorité a déterminé qu'elles n'avaient pas respecté le droit à l'effacement des personnes concernées. En appliquant le même raisonnement sur la primauté du droit de l'Union, l'IMY a conclu que ces sociétés étaient pleinement soumises aux obligations du RGPD et avaient manqué à leur devoir de donner suite aux demandes d'effacement.

Décision de l'autorité

En conséquence, l'autorité a prononcé des réprimandes à l'encontre des quatre sociétés.

En outre, l'autorité a ordonné à Legal Newsdesk Sweden AB et Fuplex AB de prendre les mesures nécessaires pour que les utilisateurs ne puissent plus consulter de données relatives aux infractions pénales lors de recherches effectuées sur la base du nom, du numéro d'identification personnel ou de l'adresse.

Enseignements

Cette décision rappelle que :

• Le principe de primauté du droit de l'Union européenne s'oppose à ce qu'une législation nationale, même de nature constitutionnelle, instaure une exemption générale au RGPD qui excède les dérogations autorisées, notamment pour des activités qui ne relèvent pas de fins journalistiques.
• La qualification d'activité à "fins journalistiques" doit être interprétée de manière stricte et ne s'applique pas de manière extensive à des services de recherche à grande échelle sur des personnes, même s'ils bénéficient d'un statut de publication en droit national.
• Les services en ligne qui compilent et rendent accessibles de vastes ensembles de données personnelles, y compris des données sensibles comme celles relatives aux infractions, sont pleinement soumis aux obligations du RGPD, notamment en ce qui concerne la base légale du traitement et le respect des droits des personnes.