L’autorité belge de protection des données (APD) a publié une décision de sanction à l’encontre d’une entreprise employant un technicien, comprenant le prononcé d’une réprimande pour des manquements relatifs au droit d’accès aux données personnelles. Cette affaire débute par une plainte déposée le 27 juillet 2023, suite à l’absence de réponse satisfaisante de la défenderesse à une demande d’accès visant à obtenir une copie des fiches de prestations du plaignant pour la période du 10 mai 2016 au 10 mai 2021.

L’enquête menée par l’autorité a permis de constater :

* Obligation de répondre aux demandes d’accès dans un délai d’un mois et de faciliter l’exercice du droit d’accès (articles 12.2, 12.3 et 12.4 du RGPD) : La défenderesse n’a pas répondu dans le délai légal à la demande initiale du 10 mai 2021, ni à la réitération du 17 janvier 2022, malgré plusieurs relances. Elle n’a pas notifié de refus formel et a imposé une procédure de consultation sur place avec rendez-vous, ce qui ne constitue pas une réponse adéquate.

* Droit d’accès et communication d’une copie des données personnelles (articles 15.1 et 15.3 du RGPD) : La demande du plaignant portait clairement sur la communication de copies des fiches manuscrites individuelles couvrant cinq ans. La défenderesse a fourni une seule fiche et a proposé uniquement une consultation sur place, ce qui ne permettait pas au plaignant de vérifier la concordance des données. La demande n’était ni manifestement infondée ni excessive.

* Interdiction de subordonner la fourniture d’une copie à la justification de la demande (article 12.5 du RGPD) : La défenderesse a invoqué le caractère excessif ou infondé de la demande sans démontrer ce point ni respecter les conditions strictes requises. Elle ne pouvait pas exiger que le plaignant identifie précisément les documents ou suive une procédure particulière avant de répondre.

En conséquence, la structure s’est vue adresser une réprimande. La défenderesse a été ordonnée de communiquer une copie des fiches de prestations couvrant la période du 10 mai 2016 au 10 mai 2021 dans un délai d’un mois, avec possibilité de demander un délai supplémentaire de trois mois en justifiant la complexité de la demande.

En outre, l’autorité a ordonné la publication de la décision sur son site sans divulguer les données d’identification et a rappelé la possibilité pour la défenderesse d’introduire un recours dans un délai de trente jours auprès de la Cour des Marchés.