L'autorité espagnole sanctionne une personne physique pour ne pas avoir répondu à ses demandes d'information, soulignant que l'obstruction aux pouvoirs d'enquête constitue une violation grave du RGPD.

Faits et contexte

L'Agence espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de A.A.A. (comprenant le prononcé d'une amende de 300 €) pour des manquements en lien avec son obligation de coopération avec l'autorité de contrôle.

L'affaire trouve son origine dans une plainte qui a conduit l'autorité à ouvrir une enquête et à adresser plusieurs demandes d'information au mis en cause.

Motifs de la décision

• Obligation de coopération avec l'autorité de contrôle (article 58, paragraphe 1, du RGPD) : L'autorité a adressé trois demandes d'information successives à A.A.A. dans le cadre de son enquête. Bien que ces demandes aient été notifiées conformément aux procédures administratives applicables, A.A.A. n'a fourni aucune réponse. L'AEPD a estimé que ce défaut de coopération a entravé l'exercice de ses pouvoirs d'enquête, qui lui sont conférés par le RGPD pour superviser l'application du règlement et protéger les droits des personnes. Ce manquement est spécifiquement qualifié d'infraction par l'article 83, paragraphe 5, point e), du RGPD.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 300 € à A.A.A.

En outre, l'autorité a ordonné à A.A.A. de lui communiquer, dans un délai de dix jours ouvrables à compter de la date à laquelle la décision deviendra exécutoire, les informations qui lui avaient été demandées au cours de l'enquête.

Enseignements

Cette décision rappelle que :

• L'obligation de coopérer avec l'autorité de contrôle, notamment en répondant à ses demandes d'information, est une obligation autonome dont le non-respect constitue une infraction distincte et sanctionnable.
• Le fait de ne pas fournir les informations demandées par une autorité de contrôle est considéré comme une entrave à ses pouvoirs d'enquête et constitue une infraction grave, classée parmi celles passibles des sanctions les plus élevées prévues par le RGPD.
• L'absence de réponse à une demande d'information est sanctionnable dès lors que l'autorité de contrôle peut prouver que la notification a été valablement effectuée, même si les premières tentatives se sont avérées infructueuses.