L'autorité danoise de protection des données a émis une critique formelle à l'encontre d'un établissement de crédit, non pas pour la suppression de journaux d'accès, mais pour sa gestion défaillante d'une demande de droit d'accès, notamment en tentant de conditionner un remboursement à l'abandon de la demande et en ne respectant pas les délais de réponse.

Faits et contexte

L'autorité danoise de protection des données (Datatilsynet) a publié une décision de critique à l'encontre d'un établissement de crédit pour des manquements liés à la gestion d'une demande de droit d'accès.

L'affaire trouve son origine dans la plainte d'un client qui, suspectant son ex-conjoint(e) employé(e) de l'établissement d'avoir consulté ses comptes sans autorisation, a exercé son droit d'accès aux journaux de connexion pour la période 2015-2021.

Motifs de la décision

L'autorité a d'abord rappelé que, conformément à la jurisprudence de la Cour de Justice de l'Union Européenne (affaire C-579/21 du 22 juin 2023), les informations relatives aux dates et aux finalités des consultations de données personnelles contenues dans des journaux d'accès sont bien couvertes par le droit d'accès. Cependant, l'autorité n'a pas trouvé de motif pour contester l'explication de l'établissement selon laquelle les journaux demandés avaient été supprimés conformément à ses procédures habituelles (conservation de six mois) et n'étaient pas soumis aux obligations de conservation de la législation sur le blanchiment d'argent. Le manquement ne réside donc pas dans la non-fourniture des journaux, mais dans la manière dont la demande a été traitée.

• Obligation de faciliter l'exercice des droits et de répondre dans les délais (article 12 du RGPD) : L'autorité a relevé plusieurs manquements à cet article. Premièrement, l'établissement de crédit a conditionné le remboursement de frais bancaires à l'abandon par le plaignant de sa demande d'accès, ce qui contrevient à l'obligation de "faciliter l'exercice des droits" prévue au paragraphe 2. Deuxièmement, l'établissement a répondu à la demande près de trois mois après sa réception (maintenue le 23 mars 2023, réponse le 20 juin 2023), violant ainsi le délai maximal d'un mois fixé par le paragraphe 3. Enfin, dans sa réponse tardive, l'établissement a affirmé à tort que les clients ne pouvaient exiger la communication des journaux d'accès ; or, s'il entendait refuser la demande, il aurait dû en informer le plaignant sans tarder et au plus tard dans un délai d'un mois, en motivant son refus et en l'informant de ses voies de recours, comme l'exige le paragraphe 4.

Décision de l'autorité

En conséquence, l'autorité a prononcé une critique à l'encontre de l'établissement de crédit.

Enseignements

Cette décision rappelle que :

• L'exercice des droits d'une personne concernée ne peut être conditionné à l'abandon d'une autre démarche ou à un avantage financier, une telle pratique constituant un manquement à l'obligation de faciliter l'exercice de ces droits.

• Le délai de réponse d'un mois à une demande d'exercice de droits est impératif, même si les informations demandées ne sont plus en possession du responsable du traitement.

• Suite à l'arrêt de la CJUE (affaire C-579/21), les informations sur les dates et finalités des consultations de données personnelles, contenues dans les journaux d'accès, sont couvertes par le droit d'accès.

• En cas de refus de faire droit à une demande, le responsable du traitement doit notifier sa décision motivée à la personne concernée dans le délai d'un mois, en l'informant de ses voies de recours.