Une application étrangère et le RGPD

1. Oui. Article 3, paragraphe 2 : le RGPD s'applique au traitement de données de personnes qui se trouvent dans l'Union par un responsable non établi dans l'Union, lorsque les activités de traitement sont liées à l'offre de biens ou de services à ces personnes, « qu'un paiement soit exigé ou non », ou au suivi de leur comportement dans l'Union. FitTrack offre une application (gratuite) à des personnes en France et suit leur comportement (déplacements, activité) : le RGPD s'applique.

2. Un défaut de base légale. Tout traitement doit reposer sur l'une des bases de l'article 6. La revente de profils à des annonceurs n'est nécessaire ni à l'exécution du contrat, ni à une obligation légale, et l'intérêt légitime ne peut prévaloir sur les droits des personnes pour des données aussi intimes ; seul le consentement aurait pu la fonder. Les principes de finalité et de minimisation (article 5) sont aussi en cause ; le rythme cardiaque est en outre une donnée de santé, soumise à un régime encore plus strict.

3. Le calcul. Les manquements aux bases légales relèvent du plafond de l'article 83, paragraphe 5 : 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

• Chiffre d'affaires de 800 M€ : $4\%\times 800=32$ M€, supérieur à 20 M€ : plafond de 32 millions d'euros.
• Chiffre d'affaires de 150 M€ : $4\%\times 150=6$ M€, inférieur à 20 M€ : plafond de 20 millions d'euros.

Il s'agit de maxima : l'amende effective tient compte de la gravité, de la durée, du caractère délibéré du manquement et de la coopération de l'entreprise (article 83, paragraphe 2).