L'autorité belge sanctionne une société pour traitement illicite et manque de transparence dans la location de vélos
L'Autorité de protection des données belge (APD) a publié une décision prononçant un blâme et un avertissement à l'encontre d'une société de location de vélos pour des manquements liés au traitement illicite de données de cartes d'identité, à un défaut de transparence et au non-respect du droit d'accès d'un client.
Cette affaire débute par une plainte déposée par un client, signalant un traitement illicite et non transparent de ses données personnelles dans le cadre d'un contrat de location de vélo.
L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 5, paragraphe 1, point a et article 6 du RGPD) : La société a mis en place une procédure de vérification d'identité impliquant la photographie de la carte d'identité du client, transmise à un sous-traitant. L'autorité a jugé ce traitement illicite, car la société, qui invoquait son intérêt légitime, n'a pas réalisé la mise en balance des intérêts requise. De plus, le traitement a été considéré comme non nécessaire et disproportionné, notamment concernant le numéro de registre national, une vérification visuelle en magasin étant déjà possible.
* Obligation de transparence (article 5, paragraphe 1, point a, article 12 et 13 du RGPD) : La politique de confidentialité était incomplète et manquait de clarté. Elle n'informait pas les clients sur la procédure de vérification de l'identité par photographie, ni sur l'intervention d'un sous-traitant pour cette opération. De même, les informations sur la collecte des données de localisation des vélos étaient ambiguës, ne précisant pas si le suivi était ponctuel ou continu.
* Respect du droit d'accès (article 12 et 15 du RGPD) : La société n'a pas répondu dans le délai légal d'un mois à la demande d'accès à ses données personnelles formulée par le plaignant le 14 janvier 2024. Cette réponse tardive a empêché le plaignant de vérifier en temps utile quelles données étaient traitées ou si elles avaient été supprimées.
En conséquence, l'autorité a adressé un blâme à la société pour le traitement des données de la carte d'identité sans base légale, pour ne pas avoir répondu à temps à la demande d'accès et pour son manque de transparence concernant le recours à un sous-traitant.
En outre, un avertissement a été prononcé pour le manque de clarté concernant le traitement des données de localisation.
Cette affaire débute par une plainte déposée par un client, signalant un traitement illicite et non transparent de ses données personnelles dans le cadre d'un contrat de location de vélo.
L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 5, paragraphe 1, point a et article 6 du RGPD) : La société a mis en place une procédure de vérification d'identité impliquant la photographie de la carte d'identité du client, transmise à un sous-traitant. L'autorité a jugé ce traitement illicite, car la société, qui invoquait son intérêt légitime, n'a pas réalisé la mise en balance des intérêts requise. De plus, le traitement a été considéré comme non nécessaire et disproportionné, notamment concernant le numéro de registre national, une vérification visuelle en magasin étant déjà possible.
* Obligation de transparence (article 5, paragraphe 1, point a, article 12 et 13 du RGPD) : La politique de confidentialité était incomplète et manquait de clarté. Elle n'informait pas les clients sur la procédure de vérification de l'identité par photographie, ni sur l'intervention d'un sous-traitant pour cette opération. De même, les informations sur la collecte des données de localisation des vélos étaient ambiguës, ne précisant pas si le suivi était ponctuel ou continu.
* Respect du droit d'accès (article 12 et 15 du RGPD) : La société n'a pas répondu dans le délai légal d'un mois à la demande d'accès à ses données personnelles formulée par le plaignant le 14 janvier 2024. Cette réponse tardive a empêché le plaignant de vérifier en temps utile quelles données étaient traitées ou si elles avaient été supprimées.
En conséquence, l'autorité a adressé un blâme à la société pour le traitement des données de la carte d'identité sans base légale, pour ne pas avoir répondu à temps à la demande d'accès et pour son manque de transparence concernant le recours à un sous-traitant.
En outre, un avertissement a été prononcé pour le manque de clarté concernant le traitement des données de localisation.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire