Dernières actualités : données personnelles

Non respect d’une injonction prononcée par l’autorité contre une agence immobilière: 6 000 euros d’amende

L’Autorité de protection des données (APD) belge a publié ce 24 avril 2025 une décision de sanction à l’encontre de l’Agence Immobilière pour ne pas avoir respecté une injonction que l’APD lui avait précédemment adressée dans sa décision 172/2022. L’agence immobilière a ainsi été condamnée à une amende de 6 000 euros.

L’affaire remonte à une plainte de juillet 2022 concernant le maintien en ligne, même après la vente d’un bien immobilier, de données à caractère personnel telles que l’adresse exacte et les références cadastrales du bien vendu (les « données de localisation »). Dans sa décision 172/2022 du 24 novembre 2022, l’APD avait conclu que ce traitement manquait de base juridique. Elle avait donc enjoint à l’agence d’effacer ces données pour le bien concerné, de cesser tout traitement ultérieur, et d’informer l’APD des mesures prises sous 30 jours. L’agence n’a pas contesté cette décision, qui est devenue définitive le 27 décembre 2022.

Bien que l’agence ait affirmé le 5 décembre 2022 s’être mise en conformité, le plaignant a signalé que des recherches en ligne renvoyaient toujours vers des données sur le bien. Le Service d’inspection (SI) de l’APD a alors ouvert une enquête d’initiative en février 2023, constatant que, malgré la suppression de certains éléments (rue, numéro, références cadastrales), la localité restait visible sur le site internet, notamment via la carte Google Maps. Une publication Facebook de l’agence affichait même encore l’adresse complète du bien en février 2023, ne retirant la rue/numéro qu’en mars 2023, mais laissant également la localité visible. Le service d’inspection a conclu que l’injonction n’avait pas été respectée, estimant que tous les éléments de l’adresse, y compris la localité (particulièrement sensible dans une petite commune), auraient dû être supprimés.

L’agence a contesté l’applicabilité du RGPD, l’atteinte à ses droits de la défense, une prétendue « double peine » (non bis in idem), le caractère abusif de l’enquête, et la prétendue exclusion de Facebook ou des contraintes techniques. L’APD a rejeté ces arguments : la combinaison de données permettait bien l’identification indirecte d’une personne physique, constituant un traitement soumis au RGPD. La procédure actuelle sanctionne le non-respect de l’injonction (une infraction distincte selon l’article 83.6 du RGPD), non les faits initiaux.

En conséquence, l’APD a décidé d’imposer une amende contre l’agence immobilière. Le refus répété de l’agence de communiquer ses chiffres de chiffre d’affaires les plus récents a été considéré comme un manque de coopération flagrant, entraînant une majoration de 20 % du montant initial qui aurait dû être de 5 000 euros.

Disponible sur: autoriteprotectiondonnees.be

Poursuite du traitement après le prétendu « effacement » des données : une entreprise sanctionnée en Roumanie

L’autorité roumaine a aujourd’hui publié le résumé d’une décision de sanction rendue à l’encontre de l’opérateur Dante International SA, avec une amende de 49.770 lei (l’équivalent de 10.000 EUR) à la clé, en raison de manquements liés à des lacunes dans la gestion du droit à l’effacement. L’enquête a, comme souvent, été ouverte à la suite d’une plainte d’un client, selon laquelle l’entreprise a traité sans son consentement ses données à caractère personnel, soit les adresses e-mail associées à son compte client créé sur la plateforme en ligne détenue par l’opérateur.

Au cours de l’enquête, il a été constaté que:
* Exercice du droit à l’effacement (articles 12 et 17 du RGPD): bien que l’entreprise ait confirmé au plaignant par plusieurs réponses que les adresses e-mail associées à son compte avaient été supprimées suite à ses demandes, le plaignant a continué à recevoir sur ces adresses un message de type avis/opinion évaluative (« feedback »). Ainsi, l’autorité a constaté que Dante International n’a pas correctement géré les demandes répétées du plaignant pour la suppression des adresses e-mail et qu’il n’avait pas fourni dans les réponses envoyées au plaignant des informations claires, transparentes et intelligibles concernant l’utilisation continue de ces adresses e-mail. 

En conséquence, l’entreprise a été condamnée à l’amende citée plus haut, et devra améliorer ses pratiques.

Disponible (en roumain) sur: dataprotection.ro
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

En Belgique, des écoles rappelées à l’ordre pour avoir traité des données sans base légale à l’occasion d’une enquête en ligne « anonyme »

La Chambre des Litiges de l’Autorité de protection des données (APD) a condamné des établissements d’enseignement « Y » pour avoir traité des données sans base légale à l’occasion d’une enquête en ligne menée auprès d’élèves mineurs sur leur consommation de drogues et d’alcool, ainsi que leurs habitudes de jeu (jeux vidéo et paris), dans le but de développer une politique de santé au sein des établissements d’enseignement Y. L’affaire a débuté par la plainte d’un parent (X) dont la fille était scolarisée dans l’un des établissements Y. Le plaignant estimait que le traitement des données n’était pas anonyme et que le consentement de sa fille pour le traitement de données relatives à sa santé n’avait pas été recueilli de manière libre et éclairée.

Les établissements Y ont argué qu’ils n’étaient pas responsables du traitement, mais que le centre d’expertise Z l’était. Ils ont également soutenu que les données étaient anonymes et que le RGPD n’était donc pas applicable.
Après examen, la Chambre des Litiges a déterminé que les établissements d’enseignement Y agissaient bien en tant que responsable du traitement. L’APD a également conclu que l’anonymisation des données prévue pas les établissements n’avait pas été suffisamment démontrée par les établissements Y pour échapper à l’application du RGPD, notamment en raison de l’utilisation de codes uniques pour les élèves et de la transmission d’une liste d’élèves au centre d’expertise « Z ».

Elle a ainsi retenu:
* Absence de base légale (articles 6 et 9 du RGPD):  Sur la base juridique du traitement, l’APD a reconnu que l’enquête pouvait relever d’une mission d’intérêt public. Cependant, compte tenu de la nature des données collectées, qui incluaient des données de santé (article 9 du RGPD), l’autorité estime que le traitement nécessitait le consentement explicite des parents ou tuteurs légaux pour les mineurs de moins de 18 ans.

Pas d’amende pour cette fois, mais les établissements devront se mettre en conformité avec la réglementation et le démontrer auprès de l’autorité.

Disponible sur: autoriteprotectiondonnees.be