L'autorité espagnole a prononcé un avertissement à l'encontre d'une société ayant tardé à répondre à une demande d'accès puis supprimé les données concernées avant d'y donner suite, entravant ainsi l'exercice du droit de la personne.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de CONSORWEB, S.L. (comprenant le prononcé d'un avertissement) pour des manquements en lien avec la gestion d'une demande d'exercice du droit d'accès.

L'affaire trouve son origine dans la plainte d'une personne qui, après avoir demandé la résiliation de son contrat, n'a pas obtenu de réponse satisfaisante à ses demandes d'accès à ses données, notamment des enregistrements d'appels.

Motifs de la décision

• Obligation de garantir le droit d'accès (article 15 du RGPD) : L'autorité a constaté que le responsable du traitement n'a pas répondu à la demande d'accès dans le délai d'un mois, la première sollicitation datant du 5 juin 2024 et la réponse n'ayant été fournie que le 11 juillet 2024. De plus, la réponse s'est avérée incomplète, se limitant à renvoyer la personne concernée au contrat signé et à l'informer de la suppression des enregistrements d'appels demandés, sans fournir les informations requises par le RGPD. L'autorité a souligné que la suppression des données postérieurement à la réception de la demande d'accès constitue une entrave directe à l'exercice de ce droit, les enregistrements existant bien à la date de la première demande.

Décision de l'autorité

En conséquence, l'autorité a prononcé un avertissement à l'encontre de CONSORWEB, S.L.

En outre, l'autorité a ordonné à la société de fournir à la personne plaignante, sous un mois, une attestation justifiant de la satisfaction ou du refus motivé de sa demande d'accès, et de mettre en œuvre des mesures appropriées pour faciliter l'exercice de ce droit à l'avenir.

Enseignements

Cette décision rappelle que :

• La suppression de données personnelles après la réception d'une demande d'accès constitue une obstruction à l'exercice des droits et une violation du RGPD.
• Les procédures internes de conservation et de suppression des données doivent être suspendues pour les données faisant l'objet d'une demande d'exercice de droits, afin de ne pas y faire obstacle.
• Le délai d'un mois pour répondre à une demande d'exercice de droits court à compter de la première sollicitation de la personne concernée, même si celle-ci est ensuite formalisée plus tard.
• Une réponse à une demande d'accès ne peut se contenter de renvoyer la personne concernée à des documents déjà en sa possession, comme un contrat, mais doit fournir l'ensemble des informations listées à l'article 15 du RGPD.