L'Autorité de protection des données (APD) a publié une décision de sanction à l'encontre de la société Isabel SA, comprenant le prononcé d'une amende de 120 000 €, pour des manquements liés à son service d'identification et d'authentification TruliUs, notamment son auto-qualification erronée en tant que sous-traitant. Cette affaire débute par une plainte déposée le 29 mars 2021, signalant des divergences entre la déclaration de confidentialité du service et les données réellement collectées, ainsi que l'absence de réponse à des demandes d'exercice de droit d'accès.

L’enquête menée par l’autorité a permis de constater :
* Obligation de responsabilité (article 5, paragraphe 2 du RGPD) : La société s'est qualifiée à tort de sous-traitante pour son service TruliUs, alors qu'elle déterminait seule les finalités et les moyens essentiels du traitement. L'autorité a estimé que la société avait conçu le service, défini unilatéralement les catégories de données collectées, la durée de conservation et les destinataires, exerçant ainsi une influence déterminante qui lui confère la qualité de responsable du traitement.

* Obligation de loyauté et de transparence de l'information (article 5, paragraphe 1, point a, 12 et 13 du RGPD) : L'information fournie aux utilisateurs au moment de la collecte des données était incomplète et trompeuse. La déclaration de confidentialité omettait de mentionner le traitement d'authentification et présentait des divergences avec les données réellement collectées, tandis que les conditions générales plus détaillées n'étaient accessibles qu'à une étape ultérieure du processus d'inscription.

* Obligation de respecter le droit d'accès (article 15, paragraphe 1 du RGPD, lu conjointement avec les article 5, paragraphe 1, point a et 12) : La société n'a pas répondu aux deux demandes d'accès formulées par le plaignant par courriel. L'argument d'un problème technique ayant entraîné la suppression des messages n'a pas été retenu pour exonérer sa responsabilité en tant que responsable du traitement.

* Obligation de minimisation des données et de protection des données par défaut (article 5, paragraphe 1, point c et 25, paragraphe 2 du RGPD) : Une quantité excessive de données a été collectée sans que la nécessité soit démontrée, notamment la nationalité, la photo de la carte d'identité et le numéro de registre national. L'enquête a révélé que la collecte de certaines de ces données résultait d'une erreur de paramétrage technique, manquant ainsi à l'obligation de ne traiter par défaut que les données nécessaires.

En conséquence, l’autorité a imposé une amende de 120 000 € à Isabel SA. Ce montant a été fixé après une réduction de 40 % d'un montant de départ de 200 000 €, en raison de circonstances atténuantes telles que le retrait du service TruliUs.

En outre, l’autorité a ordonné la publication de sa décision sur son site internet, en conservant l'identification de la société sanctionnée afin de sensibiliser le secteur.