L’autorité de contrôle hongroise a sanctionné ALDI pour avoir contrôlé si les clients achetant des boissons alcoolisées étaient majeurs, en violation du RGPD.
1/ Des contrôles de la majorité contestés
L’autorité de contrôle hongroise a reçu plusieurs plaintes dirigées contre la chaîne de supermarchés ALDI.
Les personnes concernées se plaignaient de devoir systématiquement justifier de leur majorité lors de l’achat de boissons alcoolisées. Les plaintes étaient les suivantes :
- Des personnes ont déclaré avoir dû indiquer leur date de naissance au caissier ;
- D’autres ont constaté que le caissier enregistrait leur date de naissance sur le logiciel de caisse ;
- D’autres, encore, indiquaient que les politiques de vérification de l’identité n’étaient pas identiques entre les magasins, et qu’aucune information n’était fournie sur le traitement ;
- Enfin, des personnes, dont une âgée de 70 ans, se plaignaient d’avoir dû prouver leur majorité, alors que celle-ci était évidente.
2/ Des contrôles de la majorité contraires au RGPD
L’autorité de contrôle hongroise a considéré que la chaîne de supermarchés avait enfreint de nombreuses dispositions du RGPD :
- Le fait de ne pas avoir informé les personnes concernées sur le traitement viole le principe de transparence posé aux articles 12 et 13 du RGPD ;
- Le fait d’avoir demandé aux personnes concernées d’indiquer leur date de naissance à l’oral a été considéré comme une violation des exigences en matière de sécurité, posées à l’article 32 du RGPD ;
- Le fait d’enregistrer, sur le logiciel de caisse, la date de naissance des clients a, dans un premier temps, été considéré comme un traitement contraire au principe de minimisation, posé à l’article 5§1 c) du RGPD (l’autorité de contrôle a, dans son second temps, modifié sa décision en indiquant que l’enregistrement de la date de naissance n’était pas un traitement de données personnelles car les personnes concernées n’étaient pas identifiées ou identifiables) ;
- Enfin, le fait de demander aux caissiers de vérifier de manière systématique l’âge des personnes achetant de l’alcool, alors même que certaines d’entre-elles étaient « manifestement âgées de plus de 18 ans », est contraire aux principes de licéité et de minimisation, posés respectivement aux articles 6 et 5§1 c) du RGPD : la vérification de la majorité ne devant être réalisée, selon la loi hongroise, qu’« en cas de doute ».
Compte tenu de ce qui précède, l’autorité de contrôle hongroise a infligé à ALDI une amende de près de 200 000 euros.