TL;DR pour le DPO
Quatre points utiles. 1) La responsabilité de la personne morale n'exige pas que la direction ait su : la faute du responsable du traitement suffit. 2) Un avis juridique, interne ou externe, ne protège pas si la thèse est indéfendable, et avoir l'argent pour être bien conseillé devient un argument contre vous. 3) Un score statistique de probabilité rattaché à une personne identifiable est une donnée personnelle même s'il s'agit d'une estimation. 4) Les griefs relatifs à l'AIPD et au registre ont été annulés comme absorbés dans la violation principale, mais ces documents restaient faux.
De quoi il s'agit
La procédure est pendante depuis 2019 et était déjà venue deux fois devant la Cour administrative suprême. Une société - la décision la garde anonyme, évoquant une entrepreneuse - collectait et gérait des données personnelles de destinataires de publicité et les mettait à disposition, contre rémunération, de clients faisant de la publicité, y compris électorale. Entre mai 2018 et février 2019, elle a calculé et conservé, pour environ 2,2 millions de personnes, ce que l'on appelle des affinités partisanes : des valeurs statistiques de probabilité indiquant à quel point une personne pouvait s'intéresser à la publicité de certains partis, en partie vendues à des tiers. Elle traitait en outre, à des fins de marketing et sans consentement, des données de fréquence de colis issues de son activité de livraison.
L'autorité autrichienne avait prononcé 18 millions d'euros, plus 1,8 million au titre des frais de la procédure de sanction. Le tribunal administratif fédéral les a réduits à 16 millions et 1,6 million de frais, en classant la partie relative aux affinités de déménagement et en resserrant la période visée pour les fréquences de colis, mais en confirmant le traitement illicite des affinités partisanes en tant que catégorie particulière de données, ainsi que les griefs relatifs au caractère incorrect de l'analyse d'impact et du registre des activités de traitement.
La défense : nous avions un programme de conformité
Dans son recours, la société a soutenu n'avoir pas agi fautivement : elle avait mis en place un système de conformité complet, avait fait vérifier la situation juridique en interne comme par des experts, et estimait alors que des valeurs de probabilité calculées statistiquement n'étaient pas des données personnelles.
Pourquoi la Cour a rejeté cet argument
Sanctionner une personne morale n'exige aucun acte ni aucune connaissance de ses organes de direction : il suffit que le responsable du traitement ait agi intentionnellement ou par négligence. Et le critère de la faute est de savoir si le responsable pouvait être au clair sur l'illicéité de son comportement ; la conscience de l'infraction n'est pas une condition. Qualifier les affinités partisanes de non personnelles était une position indéfendable : dès avant 2018, la pratique décisionnelle des autorités avait établi qu'une information rattachée à une personne identifiable est une donnée personnelle, même lorsqu'elle repose sur des estimations. Et parce que la société disposait de moyens considérables pour l'analyse juridique et a néanmoins mal interprété la pratique existante, la négligence grave est confirmée.
C'est un renversement à garder en tête quand un client dit « nous avons pris un avis ». L'avis n'est pas un bouclier : si la thèse se situait hors de la pratique connue, la capacité à s'entourer de bons conseils devient la raison pour laquelle il n'y a pas d'excuse. Le tribunal de première instance avait été plus direct encore : le système de contrôle interne n'avait pas empêché des erreurs juridiques élémentaires.
AIPD et registre : écartés, mais pas parce qu'ils étaient justes
Dans l'analyse d'impact et dans le registre des activités, la société avait nié traiter des données de catégories particulières. La Cour y voit une absorption : ces données n'avaient pas été inscrites dans les documents en conséquence de l'appréciation erronée selon laquelle il ne s'agissait pas de données personnelles, et donc pas non plus de catégories particulières. La gravité propre au manquement aux obligations de documentation est déjà entièrement couverte par la sanction du traitement illicite lui-même, et une sanction supplémentaire est inadmissible. Sur ces chefs, la procédure a été classée.
Comment le lire en pratique
N'attendez pas une sanction autonome au titre des articles 30 et 35 lorsque le défaut des documents est la conséquence en aval d'une seule erreur de qualification. Mais attention à l'inverse : le registre et l'AIPD étaient faux tout de même, et une qualification erronée se propage dans tous les documents qui en dépendent. Quand vous revoyez un registre, la bonne question n'est pas « les rubriques sont-elles remplies » mais « sur quelle qualification reposent-elles ».
Les frais de procédure comme sanction déguisée
Parmi les circonstances atténuantes, la Cour a retenu les mesures prises pour prévenir une violation, les déclarations d'abstention remises à de nombreuses personnes concernées et la durée exceptionnellement longue de la procédure, environ 66 mois. Elle n'a en revanche pas jugé nécessaire de compter l'absence d'infractions antérieures comme atténuante supplémentaire, le tribunal l'ayant déjà traitée comme l'absence d'une circonstance aggravante.
Le point le plus nouveau vient à la fin : fixer la contribution aux frais de la procédure à 1,3 million d'euros est contraire au droit de l'Union, car cela aboutit à une peine supplémentaire qui ne peut être justifiée au fond. La Cour a ramené cette contribution à 100 000 euros.
Que faire maintenant, concrètement
1) Cherchez les scores chez vos clients : propension, affinité, scoring d'intérêt, segments calculés. S'ils sont rattachés à une personne identifiable, ce sont des données personnelles, même s'il s'agit d'estimations, et s'ils estiment des opinions politiques, la santé, la religion ou l'orientation sexuelle, ce sont des données de l'article 9. 2) Ne classez pas un avis juridique comme s'il valait garantie : consignez aussi la pratique des autorités consultée et la date, car le critère est de savoir si vous pouviez vous en rendre compte. 3) Faites la vérification du registre à l'envers : partez des qualifications (donnée personnelle oui ou non, catégorie particulière oui ou non) et regardez quelles rubriques et quelles AIPD en dépendent. Une erreur en haut en produit dix en bas. 4) Si un client reçoit une sanction assortie d'une contribution aux frais proportionnelle au montant, cette décision est un argument pour la contester. 5) Rappelez-vous que la lenteur de l'autorité joue en faveur de la personne sanctionnée : 66 mois ont compté comme atténuation.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
