Sanction d'un site de petites annonces pour non-respect du RGPD sur les données de tiers

Une autorité de protection des données italienne a infligé une sanction à un éditeur de plateforme de petites annonces pour avoir permis la publication d’annonces contenant les données personnelles d’un tiers sans son consentement. L’affaire met en lumière les obligations des responsables de traitement en matière de sécurité des données et de respect du principe de minimisation.

Publication non autorisée de données personnelles : un manquement avéré

Une utilisatrice a découvert que deux annonces publiées sur un site de petites annonces comportaient son numéro de téléphone. La première, classée dans la rubrique « massage – bien-être », proposait des services de massage, tandis que la seconde, dans la catégorie « amour – rencontre », était accompagnée d’un message à caractère explicite. Après avoir signalé ces annonces à l’éditeur, qui les a retirées, la plaignante a déposé une plainte auprès de l’autorité de protection des données.

L’éditeur a invoqué des mesures de contrôle a posteriori, notamment un filtrage automatique des mots interdits et des numéros signalés, un contrôle manuel pour les catégories sensibles, ainsi qu’une vérification par code à usage unique des adresses de messagerie. Il a également souligné que l’exigence d’une pièce d’identité pour chaque annonceur serait disproportionnée au regard du principe de minimisation.

Deux manquements au RGPD identifiés par l’autorité

L’autorité a retenu deux infractions distinctes à l’encontre de l’éditeur, en sa qualité de responsable du traitement :

• Absence de mesures de sécurité adéquates : L’autorité a estimé que l’éditeur aurait dû mettre en place des dispositifs permettant de vérifier que les données personnelles publiées, en particulier le numéro de téléphone, appartenaient bien à l’utilisateur qui les avait saisies. Bien que la politique de confidentialité et les conditions générales d’utilisation interdisaient explicitement la publication de données de tiers sans consentement, l’absence de mécanismes effectifs pour garantir ce respect constituait une défaillance dans l’application du principe d’accountability.
• Traitement illégal de données sensibles : L’autorité a considéré que le numéro de téléphone de la plaignante, associé à des annonces à connotation sexuelle, devait être qualifié de donnée sensible au sens de l’article 9 du RGPD. Son traitement en l’absence de base légale valide a été sanctionné.

Sanction et mesures correctives imposées

L’autorité a prononcé une amende de 5 000 euros à l’encontre de l’éditeur et lui a enjoint de mettre en œuvre des mesures préventives. Ces dernières incluent notamment la vérification systématique, avant toute publication dans une catégorie sensible (telle que « massage – bien-être » ou « amour – rencontre »), que l’utilisateur indiquant un numéro de contact en est bien le titulaire ou y a été autorisé par le tiers concerné.

Source : Derriennic