Lisbonne a reçu une amende pour avoir enfreint le règlement général de l’UE sur la protection des données. Elle a partagé des données personnelles de manifestants avec des ambassades étrangères visées par les protestations. L’amende représente 0,1 % du budget annuel de la ville.
L’autorité portugaise de protection des données a sanctionné la mairie de Lisbonne d’une amende de 1,25 million d’euros le 14 janvier.
Lisbonne a partagé des données personnelles d’organisateurs de manifestations avec des ambassades de pays ciblés par ces manifestations.
L’affaire fut révélée au grand public en juin 2021, lorsque Ksenia Ashrafullina a déclaré avoir reçu un email montrant que la mairie avait partagé des données sur elle et sur d’autres organisateurs avec l’ambassade de Russie.
Ksenia Ashrafullina est une femme russo-portugaise qui a organisé une manifestation à Lisbonne en soutien à Alexei Navalny, un homme politique russe critique du Kremlin emprisonné et empoisonné en 2020.
Les données personnelles des organisateurs ont été envoyées aux ambassades lorsque les manifestations ont ciblé leur pays. Cuba, l’Angola, le Venezuela, Israël ou les bureaux de représentation de la Russie ont reçu ce type de données.
Une enquête interne a montré que Lisbonne partageait des données aux ambassades étrangères depuis 2012. Les organisateurs de 180 manifestations ont vu leurs données personnelles partagées avec des pays étrangers.
En 2011, la responsabilité de la gestion des manifestations a été transférée du gouvernement aux municipalités.
Lisbonne a partagé des données personnelles et a enfreint les dispositions du RGPD
À cette époque, Lisbonne était gouvernée par des maires du Parti socialiste. António Costa fut maire de Lisbonne entre 2007 et 2015 avant de former une coalition qui l’a conduit à devenir Premier ministre, rôle qu’il occupe toujours à ce jour. Fernando Medina, du Parti socialiste, a succédé à Costa en 2015 et a été réélu en 2017.
M. Medina a ensuite concédé sa défaite aux élections locales remportées par le candidat de centre-droit Carlos Moedas en septembre 2021.
Avec le règlement général sur la protection des données, l’Union européenne a interdit les transferts de données depuis 2018. L’amende correspond à 225 violations concernant diverses dispositions du RGPD sous l’autorité de M. Medina, punissant ainsi uniquement les actions depuis l’application du règlement.
Selon l’autorité portugaise de protection des données, entre 2018 et 2021 la mairie a partagé des informations personnelles liées à 52 manifestations avec des ambassades et d’autres entités.
Une amende représentant 0,1 % du budget annuel de Lisbonne
Dans un communiqué, l’actuel maire de Lisbonne a déclaré que cette amende était un « lourd héritage […] laissé aux habitants de Lisbonne » et un défi pour le budget, ciblant le fonctionnement de ses prédécesseurs.
Le budget proposé par Lisbonne pour 2021–2022 est de 1,16 milliard d’euros, avec un déficit de 346 millions d’euros. L’amende représente 0,1 % des dépenses annuelles de Lisbonne.
Mme Ashrafullina a déclaré à Reuters qu’elle était satisfaite de la décision : « Nous l’attendions, et elle est enfin arrivée ». Néanmoins, elle craint toujours les conséquences d’un tel partage de données si elle devait un jour retourner en Russie.
