L’affaire Russiagate dure depuis plus de cinq ans. La justice portugaise vient de fixer la facture définitive et la mairie de Lisbonne devra payer 463 700 euros pour avoir transmis aux autorités russes les données personnelles de militants opposés à Vladimir Poutine. C’est la plus lourde sanction jamais prononcée au Portugal pour violation de protection des données.
L'essentiel de l'actualité au Portugal
- La mairie de Lisbonne est condamnée à payer 463 700 euros pour avoir envoyé à Moscou les données de manifestants anti-Poutine ;
- Les faits remontent à janvier 2021, lors d’un rassemblement de soutien à Alexeï Navalny devant l’ambassade de Russie ;
- L’amende de départ était de 1,25 million d’euros, mais elle a fondu au fil des recours et des prescriptions ;
- Il s’agit malgré tout de la plus grosse amende jamais infligée au Portugal en matière de protection des données.
La mairie de Lisbonne devra payer 463 700 euros
La décision a été rendue par le Tribunal Central Administratif Sud et révélée à l’agence Lusa par le cabinet du maire de Lisbonne, Carlos Moedas.
Le tribunal a fixé une amende unique de 463 700 euros au titre du Règlement général sur la protection des données (le RGPD, qui s’applique dans toute l’Union européenne).
C’est moins de la moitié du montant réclamé au départ par la Commission nationale de protection des données portugaise (la CNPD, l’équivalent de la CNIL française), qui avait infligé 1,25 million d’euros d’amende à la ville en janvier 2022.
La manifestation pour Alexeï Navalny en janvier 2021
Rappelons les faits reprochés.
Le 23 janvier 2021, une cinquantaine de personnes se rassemblent devant l’ambassade de Russie à Lisbonne pour réclamer la libération d’Alexeï Navalny, principal opposant à Vladimir Poutine, alors emprisonné (il mourra en détention en février 2024).
Au Portugal, toute manifestation doit faire l’objet d’une déclaration préalable auprès de la mairie, en vertu d’une loi de 1974. Les trois organisateurs, dont deux binationaux russo-portugais, transmettent donc leurs noms, numéros d’identification, adresses et téléphones aux services municipaux.
Ces informations doivent normalement être transmises à la police (la PSP), au ministère de l’Intérieur et à l’entité où se déroule le rassemblement.
Sauf que, dans ce cas précis, l’entité en question était… l’ambassade de Russie elle-même.
Les services de la mairie, alors dirigée par le socialiste Fernando Medina, ont envoyé le dossier par e-mail à l’ambassade russe à Lisbonne, mais aussi au ministère russe des Affaires étrangères, à Moscou.
Les militants concernés dénoncent une mise en danger de leur sécurité et de celle de leurs familles restées en Russie, et déposent plainte auprès de la CNPD.
L’ambassadeur de Russie au Portugal avait alors assuré que les données avaient été effacées et qu’elles n’avaient jamais été transmises à Moscou.
La pratique durait depuis 2013 et ne concernait pas que la Russie
Un audit interne de la municipalité démontrait que Lisbonne avait signalé à l’ambassade de Russie 27 manifestations depuis 2013, à l’époque où António Costa dirigeait la ville.
La mairie avait d’ailleurs défendu qu’il s’agissait d’une procédure habituelle, appliquée de la même manière à tous les rassemblements.
Sauf que le procédé ne visait pas seulement la Russie : des données ont également été communiquées aux ambassades d’Israël, de Chine, du Venezuela, d’Angola et d’Iran.
Au total, la CNPD a retenu 225 infractions au RGPD dans les communications faites par la ville à l’occasion de manifestations, meetings ou défilés. La procédure interne a depuis été modifiée, car la mairie n’envoie plus ces données aux ambassades.
L’amende a été réduite au fil des recours et des prescriptions
La sanction est un record, mais elle a été divisée par près de trois en quatre ans.
Après l’amende de 1,25 million d’euros prononcée par la CNPD en janvier 2022, la mairie conteste. Le procès s’ouvre en 2024 et le Tribunal administratif de cercle de Lisbonne ramène le montant à 1 027 500 euros.
En août 2025, le Tribunal Central Administratif Sud le juge infondé, mais le montant tombe à 738 000 euros, correspondant à 65 infractions encore valides. En janvier 2026, le Tribunal constitutionnel rejette à son tour le recours de la ville.
La mairie demande alors l’extinction de 42 infractions supplémentaires, une demande suivie par le ministère public. L’amende finale s’établit à 463 700 euros.
C’est la plus grosse sanction jamais prononcée au Portugal pour violation de données
Malgré cette réduction, le montant reste historique. L’avocat de la CNPD souligne qu’il s’agit de la plus forte amende jamais appliquée au Portugal pour une violation de la protection des données.
Et c’est le budget municipal qui va la régler, donc les contribuables lisboètes.
À noter que ce dossier a pesé lourd dans la vie politique locale. Révélé à quelques mois du scrutin municipal de 2021, il a accompagné la défaite de Fernando Medina et l’élection de Carlos Moedas à la tête de la capitale.
Elenina
L'essentiel de l'actualité au Portugal
À lire aussi
