Une liste de diffusion en CC au lieu de BCC entraîne une amende

de A. Navidy / J. Baeck

Si une liste de diffusion ouverte est utilisée pour envoyer des e-mails dans un environnement commercial, il y a un risque que cela soit considéré comme une violation de la protection des données par les autorités de contrôle et que des amendes soient infligées.

En février 2019, le commissaire à la protection des données du Land de Saxe-Anhalt, Harald von Bose, a infligé plusieurs amendes à un homme de Merseburg. Celui-ci avait envoyé à plusieurs reprises des courriels contenant des centaines d'adresses électroniques personnelles dans une liste de diffusion ouverte (CC).

Le contenu de ces courriels portait notamment sur des plaintes, des prises de position, des dénigrements, mais aussi des plaintes pénales contre des représentants du monde économique, politique et de la presse.

Selon les déclarations de M. von Bose, le contenu de ces e-mails était certes légitime et en principe couvert par l'article 5, paragraphe 1, de la loi fondamentale (liberté d'expression), mais pas l'utilisation de 1 600 adresses e-mail, qui étaient utilisées presque quotidiennement. L'homme de Merseburg avait invoqué l'article 5, paragraphe 1 de la Loi fondamentale dans son litige avec l'autorité de surveillance. Ce droit fondamental ne justifie cependant pas l'utilisation de listes de diffusion ouvertes.

Le traitement des données à caractère personnel (adresses e-mail) ne peut être justifié ni par la simple utilisation de l'envoi d'e-mails, ni par l'intérêt légitime de l'expéditeur au sens de l'article 6, paragraphe 1, point f) du RGPD (expression d'une opinion). En ce qui concerne la publication des adresses électroniques par la liste de diffusion ouverte, la décision de mise en balance est toutefois en faveur des personnes concernées, car cette publication porte atteinte à leurs droits fondamentaux à l'autodétermination en matière d'information. La réserve dite de restriction de l'article 5, paragraphe 2 de la Loi fondamentale soutient également cette décision de mise en balance.

Les différentes amendes devraient être basées sur l'article 83, paragraphe 1 du RGPD, le § 22, paragraphe 2a, n° 1 de la DSG LSA, le § 43, paragraphe 2 de la BDSG et s'élèvent au total à 2 628,50 €.
Il n'est pas exclu que d'autres amendes suivent, car l'homme aurait continué à enfreindre les règles de protection des données même après avoir reçu les amendes.

Dans le contexte professionnel, il conviendra à l'avenir de veiller encore plus à l'adressage correct lors de l'envoi d'e-mails externes, car il n'existe une exception pour la distribution ouverte d'e-mails que dans le domaine privé, dans lequel le RGPD ne s'applique pas, conformément à l'article 2, paragraphe 2, point c) du RGPD, "par des personnes physiques dans l'exercice d'activités exclusivement personnelles ou familiales".

Plus d'informations :

• mz-web.de/merseburg/hunderte-adressen-imverteiler-merseburger-muss-fuer-wut-mails-ueber-2-000-euro-zahlen-32033308