L'Autorité de protection des données (APD) a publié une décision de sanction à l'encontre d'un cabinet d’avocats, comprenant le prononcé d'une amende de 4 920 €, pour des manquements en lien avec l'obligation d'information et le respect du droit d'accès des personnes concernées. Cette affaire débute par une plainte déposée par une mère, agissant pour son compte et celui de sa fille mineure, suite au refus partiel du cabinet de répondre à sa demande d'accès aux données, conditionnant sa réponse complète au paiement de 135 €.

L’enquête menée par l’autorité a permis de constater :

* Obligation d'information et de transparence (article 5, paragraphe 1, point a, 12 et 13 du RGPD) : Le cabinet d'avocats n'a pas été en mesure de prouver qu'il avait correctement informé les plaignantes lors de la collecte de leurs données, notamment en raison de l'absence d'une politique de confidentialité. L'autorité a qualifié ce manquement de systémique, bien qu'il ait été constaté dans le cadre d'une seule demande.

* Obligation de faciliter l'exercice des droits et de répondre aux demandes d'accès (article 12 et 15 du RGPD) : Le cabinet a opposé un refus illégitime à la demande d'accès. Il a invoqué le besoin de vérifier l'identité de la plaignante sans pour autant demander les informations supplémentaires nécessaires, et a exigé le paiement de frais de 135 € en qualifiant à tort la demande de "manifestement infondée ou excessive". L'autorité a jugé cette justification non fondée, rappelant que des demandes répétées suite à un refus initial illégitime ne sont pas en soi excessives.

En conséquence, l’autorité a imposé une amende totale de 4 920 € au cabinet d'avocats, correspondant à la somme de deux amendes distinctes (2 520 € et 2 400 €) qui ont été réduites en raison d'une circonstance atténuante.

En outre, l’autorité a ordonné au cabinet de satisfaire intégralement à la demande d'accès des plaignantes dans un délai d'un mois et de l'en informer.