AEPD (Espagne), 2 février 2022
Dans une décision rendue le 2 février 2022, l’autorité espagnole de contrôle a sanctionné Amazon pour avoir traité des données relatives aux condamnations pénales de ses employés sans base légale.
Dans le cadre du recrutement de ses chauffeurs, la société Amazon Road Transport Spain (« Amazon ») exige des candidats la fourniture d’un certificat d’absence de casier judiciaire.
Un syndicat a déposé une plainte auprès de l’autorité de contrôle espagnole estimant que le traitement de tels certificats est contraire au RGPD.
Au cours de son enquête, l’autorité de contrôle a considéré que la collecte de certificats caractérisait un traitement de données à caractère personnel, et plus spécifiquement « un traitement de données personnelles relatives aux condamnations pénales et aux infractions », à savoir un traitement encadré par des garanties spécifiques prévues à l’article 10 du RGPD.
Conformément à cet article, et comme l’a rappelé l’autorité de contrôle, le traitement de telles données est limité aux « cas exceptionnels », qui doivent être « autorisés par une loi et avec les garanties appropriées ».
Après analyse du cas d’espèce, l’autorité de contrôle a estimé qu’il n’existe aucune loi permettant à Amazon de vérifier les casiers judiciaires des chauffeurs, et qu’en conséquence le traitement était effectué sans base légale.
En effet, dès lors qu’un « certificat négatif » peut comporter des données relatives aux condamnations pénales ou aux infractions, « en l’absence d’autorisation légale, il n’est pas possible, […], de recourir à d’autres bases juridiques pour légitimer le traitement des données personnelles liées aux condamnations et aux infractions pénales ».
Compte tenu de ces observations, l’autorité de contrôle est arrivée à la conclusion qu’Amazon avait traité les données sur l’absence de casier judiciaire sans base légale valable, en violation des articles 6§1 et 10 du RGPD, et a infligé une amende de 2.000.000 € à Amazon.
Lien vers la décision : ici