L'autorité espagnole sanctionne une société pour ne pas avoir répondu à ses demandes d'information, rappelant que le défaut de coopération constitue une infraction autonome et grave au RGPD.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de la société NEGOCIOS R&R 2020 S.L. comprenant le prononcé d'une amende de 20 000 € pour des manquements en lien avec son obligation de coopérer avec l'autorité de contrôle.

Cette affaire trouve son origine dans une réclamation qui a conduit l'autorité à mener des investigations et à adresser trois demandes d'information successives à la société, lesquelles sont restées sans réponse.

Motifs de la décision

• Obligation de coopérer avec l'autorité de contrôle (article 58, paragraphe 1, du RGPD) : L'autorité a constaté que la société n'avait répondu à aucune des trois demandes d'information qui lui avaient été adressées dans le cadre d'une enquête. L'autorité souligne que ces demandes ont été valablement notifiées, y compris par une publication au journal officiel espagnol après l'échec d'une notification postale. En s'abstenant de fournir les informations requises, la société a entravé les pouvoirs d'enquête de l'autorité, ce qui constitue une violation de l'obligation de coopération prévue par le RGPD, infraction expressément sanctionnable au titre de l'article 83, paragraphe 5, point e), du RGPD.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 20 000 € à NEGOCIOS R&R 2020 S.L.

En outre, l'autorité a ordonné à la société de lui communiquer les informations initialement demandées dans un délai de dix jours ouvrables à compter de la date à laquelle la présente décision deviendra exécutoire.

Enseignements

Cette décision rappelle que :

• Le défaut de réponse à une demande d'information d'une autorité de contrôle constitue une infraction autonome au RGPD, indépendamment du bien-fondé de la plainte initiale.
• L'obligation de coopération avec l'autorité de contrôle, inscrite à l'article 58 du RGPD, n'est pas une faculté mais une obligation légale contraignante pour tout responsable de traitement.
• Le non-respect des pouvoirs d'enquête de l'autorité, tel que le refus de fournir des informations, est passible des sanctions les plus élevées prévues par le RGPD, pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
• Les responsables de traitement doivent s'assurer de la réception et du traitement des communications officielles, y compris celles publiées au journal officiel en cas d'échec des notifications postales, celles-ci étant considérées comme valablement effectuées.