L'autorité polonaise de protection des données a sanctionné un entrepreneur pour son défaut de coopération lors d'une enquête, soulignant que cette obligation est autonome et que son non-respect justifie une sanction pécuniaire, même en l'absence de décision sur les manquements de fond qui ont initié la procédure.

Faits et contexte

L'autorité polonaise de protection des données (UODO) a aujourd'hui publié une décision de sanction à l'encontre d'un entrepreneur de Cracovie, comprenant le prononcé d'une amende de 31 507 PLN (environ 7 300 €), pour des manquements en lien avec son obligation de coopération avec l'autorité de contrôle.

L'affaire trouve son origine dans une enquête de l'autorité concernant de possibles irrégularités dans le traitement des données personnelles sur deux sites internet, lexspace.pl et adwokatura.info, exploités par l'entrepreneur. Ces plateformes traitaient les données de professionnels du droit (conseillers juridiques et avocats) ainsi que de personnes recherchant des conseils juridiques.

Motifs de la décision

• Obligation de coopérer avec l'autorité de contrôle (article 31 du RGPD) : L'autorité a constaté que les sites internet n'affichaient pas les coordonnées du responsable du traitement, empêchant les personnes concernées d'exercer leurs droits. Après avoir identifié l'entrepreneur comme étant le responsable du traitement, ce dernier a d'abord collaboré mais a ensuite fourni des explications jugées insuffisantes. Malgré de multiples relances par téléphone et par courriel, et après avoir été informé qu'un défaut de coopération pouvait entraîner une amende, l'entrepreneur a cessé de répondre. L'autorité a considéré que cette attitude passive, voire méprisante, a rendu impossible l'examen objectif, approfondi et complet de l'affaire, entravant ainsi sa mission de contrôle.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 31 507 PLN (environ 7 300 €) à l'entrepreneur.

Enseignements

Cette décision rappelle que :

• L'obligation de coopérer avec une autorité de contrôle, prévue par l'article 31 du RGPD, constitue une obligation autonome dont le non-respect peut être sanctionné indépendamment des éventuels manquements de fond.
• Une coopération initiale avec l'autorité de contrôle ne suffit pas ; le responsable du traitement doit répondre de manière complète et continue à toutes les demandes d'information tout au long de la procédure.
• Le fait d'ignorer les sollicitations d'une autorité de contrôle et d'entraver ainsi sa mission d'enquête est considéré comme un manquement grave justifiant l'imposition d'une sanction pécuniaire.