L'autorité norvégienne de protection des données a sanctionné une société non pas pour le manquement initial à l'origine d'une plainte, mais pour avoir enfreint son obligation de coopération en menaçant ses agents et en retardant la procédure d'enquête.

Faits et contexte

L'autorité norvégienne de protection des données (Datatilsynet) a aujourd'hui publié une décision de sanction à l'encontre de Lab Pharma AS (comprenant le prononcé d'une amende de 205 000 NOK, soit environ 17 800 €) pour des manquements en lien avec son obligation de coopération.

L'affaire trouve son origine dans une plainte de 2023 concernant l'utilisation du nom et des photos d'une personne à des fins de marketing, prétendument sans base légale.

Motifs de la décision

• Obligation de coopération avec l'autorité de contrôle (article 31 du RGPD): L'autorité rappelle que cette obligation est essentielle pour lui permettre d'exercer ses missions d'enquête et de contrôle, conformément à l'article 57, paragraphe 1, du RGPD. En l'espèce, suite à une injonction lui demandant de fournir des informations, la société a réagi en envoyant des courriels contenant des propos désobligeants et des menaces de plainte pénale et de poursuites judiciaires à l'encontre des agents en charge du dossier, afin d'obtenir l'arrêt des investigations. L'autorité a considéré que si le droit d'exprimer son désaccord et de contester une injonction est légitime, ces menaces délibérées constituent une violation caractérisée de l'obligation de coopérer. De plus, la société a intentionnellement retardé la transmission des documents demandés, ne respectant pas le délai imparti même après la validation de l'injonction par le Tribunal de la protection des données (Personvernnemnda), ce qui a nécessité de multiples relances.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 205 000 NOK (environ 17 800 €) à Lab Pharma AS.

En outre, l'autorité a ordonné à la société de supprimer les données personnelles de la plaignante et lui a interdit toute utilisation future de ces données sans une base légale valide.

Enseignements

Cette décision rappelle que :

• L'obligation de coopération avec l'autorité de contrôle (article 31 du RGPD) est une obligation autonome dont le manquement peut être sanctionné indépendamment des violations de fond.
• Le droit de contester une décision de l'autorité ou d'exprimer son désaccord ne justifie pas le recours à des menaces ou à des manœuvres d'intimidation visant à entraver une enquête.
• Le respect des délais fixés par l'autorité et la communication proactive pour la transmission des informations font partie intégrante de l'obligation de coopération.
• Retarder délibérément la fourniture des documents demandés par une autorité constitue une violation de l'obligation de coopération, même si les documents sont finalement transmis.