En bref
Trois manquements : art. 13, § 1 (base légale indiquée de manière incorrecte), art. 13, § 2 (information insuffisante sur le droit d'opposition), art. 21, § 1 (oppositions rejetées sans démontrer de motifs légitimes impérieux). Vingt-six réclamations entre mai et novembre 2025, d'adhérents norvégiens et finlandais. Échéance : 11 septembre 2026.
Le traitement
SATS demande aux adhérents une photographie d'adhésion. L'image reste dans le système de gestion des adhérents et le personnel l'utilise à l'entrée pour vérifier que la personne qui franchit le tourniquet est bien celle inscrite. Ce n'est pas de la vidéosurveillance : c'est une donnée d'identification utilisée à la main, à l'accueil.
La première erreur en engendre une seconde
L'information indiquait une base légale qui n'était pas la bonne. Une erreur qui paraît formelle — la photo est collectée de toute façon — et qui pourtant change les droits de la personne.
Si le traitement repose sur l'exécution du contrat, le droit d'opposition de l'article 21 n'existe pas. S'il repose sur l'intérêt légitime, il existe bel et bien, et le responsable qui reçoit une opposition doit s'arrêter à moins de démontrer des motifs légitimes impérieux prévalant sur les intérêts de la personne.
D'où les deux autres manquements. L'information n'expliquait pas correctement le droit d'opposition — en cohérence avec la base erronée, puisque sous le contrat il n'y aurait rien eu à expliquer. Et lorsque les adhérents se sont opposés, les oppositions ont été rejetées sans démontrer ces motifs impérieux.
Pourquoi c'est une leçon et non une actualité
Qui déclare « contrat » ne construit pas la mécanique de traitement des oppositions, car dans sa lecture ces oppositions ne peuvent pas exister. Elles arrivent quand même, et à ce moment-là il n'y a ni procédure ni trace de la mise en balance. Ce ne sont pas deux défauts indépendants : le second découle du premier.
Vingt-six réclamations entre mai et novembre 2025, d'adhérents norvégiens et finlandais. Datatilsynet n'a pas prononcé d'amende : une injonction et un rappel à l'ordre, avec l'obligation de donner aux adhérents l'information correcte sur la base légale et les intérêts légitimes avant le 11 septembre 2026.
Deux questions à poser à un client
Pour chaque traitement fondé sur l'intérêt légitime : où la mise en balance est-elle écrite, et qui la refait quand une opposition arrive ? Et pour chaque traitement déclaré « nécessaire à l'exécution du contrat » : est-il vraiment nécessaire pour l'exécuter, ou seulement commode ? La salle de sport fonctionne sans la photo — moins bien, mais elle fonctionne. C'est exactement la différence que l'article 6, § 1, b) demande de mesurer.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
