Une clinique a été sanctionnée pour avoir traité des données de patients sans base légale et, de surcroît, pour ne pas avoir coopéré avec l'autorité de contrôle lors de son enquête.

Faits et contexte

L'Autorité Nationale de Surveillance du Traitement des Données à Caractère Personnel (ANSPDCP) a aujourd'hui publié une décision de sanction à l'encontre de S.C. HAYAT MEDICAL & DENTAL S.R.L., comprenant le prononcé d'une amende totale de 5 000 €, pour des manquements en lien avec l'absence de base légale pour le traitement de données de patients et un défaut de coopération avec l'autorité.

L'enquête a été initiée suite à la plainte d'une personne concernée alléguant une possible violation des dispositions du RGPD.

Motifs de la décision

• Obligation de coopérer avec l'autorité de contrôle (article 58, paragraphe 1, points a) et e) du RGPD) : L'autorité a constaté que le responsable du traitement n'avait pas fourni toutes les informations qu'elle avait demandées dans le cadre de l'exercice de ses pouvoirs d'enquête. Ce manquement à l'obligation de coopération constitue une violation distincte, sanctionnée en vertu de l'article 83, paragraphe 5, point e) du RGPD.
• Obligation de licéité, loyauté et transparence du traitement (article 5, paragraphe 1, point a) du RGPD et article 6, paragraphe 1 du RGPD) : Il a été établi que la société avait traité des données à caractère personnel de patients, notamment leur nom, prénom et numéro de téléphone, sans disposer d'une base légale valide. L'autorité a conclu que cet accès et cette divulgation de données violaient le principe de licéité du traitement.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende totale de 26 750 lei (équivalent de 5 000 €) à S.C. HAYAT MEDICAL & DENTAL S.R.L., se décomposant en une amende de 10 700 lei (2 000 €) pour le défaut de coopération et une amende de 16 050 lei (3 000 €) pour l'absence de base légale.

Enseignements

Cette décision rappelle que :

• Le défaut de coopération avec une autorité de contrôle, notamment en ne répondant pas ou en répondant de manière incomplète à ses demandes d'information, constitue un manquement distinct et peut être sanctionné indépendamment des autres violations constatées.
• Le traitement de données de patients, même s'il ne s'agit que de données d'identification et de contact, doit impérativement reposer sur une base légale valide au sens de l'article 6 du RGPD.
• Une même enquête peut aboutir au prononcé de plusieurs amendes distinctes lorsque les manquements constatés relèvent de violations de différentes dispositions du RGPD, comme c'est le cas entre un manquement substantiel (absence de base légale) et un manquement procédural (défaut de coopération).