L’autorité de contrôle espagnole, après avoir qualifié le transporteur d’un colis de responsable du traitement au sens du RGPD, l’a sanctionné pour avoir inscrit le numéro de téléphone d’une personne concernée sur l’étiquette d’un colis.
Après avoir passé une commande sur un site internet, un client a constaté que le transporteur, DHL, avait indiqué son numéro de téléphone sur l’étiquette de son colis.
Considérant que son numéro de téléphone n’avait pas à figurer sur le colis, la personne a déposé une plainte auprès de son autorité de contrôle.
1/ Le transporteur est un responsable du traitement autonome
L’autorité de contrôle espagnole s’est d’abord penchée sur la « qualification RGPD » du transporteur. Dans la mesure où la commande a été passée auprès d’un site marchand et que c’est celui-ci qui a collecté les données de la personne concernée avant de les transmettre au transporteur, l’autorité s’est demandé s’il existe une relation de sous-traitance ou de responsabilité conjointe du traitement entre le marchand et le transporteur.
Après avoir rappelé les définitions applicables, l’autorité de contrôle a considéré que le transporteur est responsable du traitement autonome de « l’activité de transport ».
Pour parvenir à cette qualification, l’autorité de contrôle a constaté que le transporteur (i) définissait « le format et le contenu des étiquettes accolées aux colis », (ii) choisissait les données personnelles à collecter et à traiter (nom, prénom, adresse postale, adresse électronique et numéro de téléphone) et (iii) assurait seul la « gestion et l’expédition des colis ».
Ainsi, selon l’autorité de contrôle, le transporteur détermine seul les finalités et les moyens du traitement et doit être qualifié de responsable du traitement.
2/ Le transporteur n’a pas respecté le principe de sécurité du traitement
Rappelant le principe de sécurité posé à l’article 32 du RGPD, l’autorité de contrôle a considéré qu’en inscrivant le numéro de téléphone de la personne concernée sur l’étiquette du colis, le transporteur n’a pas mis en œuvre « les mesures de sécurité suffisantes ou appropriées ».
Pour parvenir à cette conclusion, l’autorité de contrôle a estimé, d’une part, que l’inscription du numéro de téléphone d’une personne concernée sur l’étiquette du colis n’était « pas indispensable à la gestion logistique de l’envoi » et, d’autre part, que cette inscription permettait « l’accès non autorisé à ces données personnelles par des tiers ».
Ainsi, le numéro de téléphone d’un client n’a, selon l’autorité de contrôle, pas à figurer sur le colis.
Compte tenu de ce qui précède, l’autorité de contrôle espagnole a infligé au transporteur une amende de 5 000 €.