La Cour administrative suprême autrichienne a confirmé la sanction de l'autorité de protection des données pour le traitement illicite de données relatives aux "affinités politiques" de 2,2 millions de personnes, qualifiées de catégories particulières de données, et a fixé l'amende finale à 13 millions d'euros.

Faits et contexte

L'autorité autrichienne de protection des données (DSB) a publié une communication relative à la décision de la Cour administrative suprême du 24 juin 2026, qui confirme une sanction à l'encontre d'une société (comprenant le prononcé d'une amende de 13 000 000 €) pour le traitement illicite de données relatives aux opinions politiques.

L'affaire trouve son origine dans une décision de sanction de l'autorité autrichienne du 23 octobre 2019, faisant suite à la constatation d'un traitement de données relatives aux "affinités politiques" de 2,2 millions de personnes.

Motifs de la décision

Après plusieurs recours et renvois judiciaires, la Cour administrative suprême a confirmé les manquements suivants :

• Obligation de ne pas traiter de catégories particulières de données (article 9 du RGPD) : La société a traité des données concernant les "affinités politiques" de 2,2 millions de personnes, qui correspondent à une probabilité, calculée statistiquement, de leur intérêt pour la publicité électorale de certains partis. La Cour a confirmé que ces données constituent des catégories particulières de données personnelles. Ce traitement, qui incluait le stockage et la vente partielle à des tiers, a été réalisé sans le consentement des personnes concernées ni aucune autre base juridique prévue à l'article 9, paragraphe 2 du RGPD, et a été qualifié de négligence grave.
• Obligation de licéité du traitement : La décision a également validé le caractère illicite du traitement ultérieur de données concernant la fréquence de réception de colis à des fins de marketing, ce traitement n'ayant pas de base juridique appropriée.

Décision de l'autorité

En conséquence, la Cour administrative suprême a imposé une amende de 13 000 000 € à la société.

En outre, la Cour a ordonné à la société de s'acquitter d'une contribution aux frais de la procédure administrative d'un montant de 100 000 €.

Enseignements

Cette décision confirme et précise que :

• Des données qui ne révèlent pas directement une opinion politique, mais qui sont le résultat d'un calcul statistique de probabilité (telles que des "affinités politiques"), doivent être qualifiées de catégories particulières de données personnelles au sens de l'article 9 du RGPD.
• Pour le calcul du montant d'une amende, le chiffre d'affaires annuel total mondial à prendre en compte est celui de l'ensemble du groupe d'entreprises, et non un chiffre d'affaires limité à l'activité en lien avec l'infraction.
• L'appréciation de la faute (intention ou négligence) d'un responsable du traitement doit se fonder exclusivement sur les critères du droit de l'Union et la jurisprudence de la Cour de Justice de l'Union européenne, sans qu'il soit possible d'appliquer les dispositions du droit national en la matière.
• Les lignes directrices du Comité européen de la protection des données (CEPD), telles que celles sur le calcul des amendes administratives (04/2022), constituent un outil d'interprétation pertinent pour les juridictions nationales dans l'application du RGPD, notamment pour évaluer le degré de faute.
• La contribution aux frais de procédure administrative imposée en complément d'une amende doit rester proportionnée, même en cas d'amende très élevée, et peut être plafonnée par le juge.