La présente décision souligne qu'un responsable du traitement ne peut supprimer des données personnelles pour lesquelles une demande d'accès a été formulée, même si la durée de conservation initialement prévue est expirée, car une telle suppression entrave l'exercice des droits de la personne concernée et son droit à un recours effectif.

Faits et contexte

L'autorité danoise de protection des données (Datatilsynet) a publié une décision prononçant une critique sévère à l'encontre de Metro Service A/S pour des manquements liés au droit d'accès et à la conservation des données suite à une demande d'accès.

L'affaire trouve son origine dans la plainte d'une personne s'étant vu refuser l'accès à des enregistrements de vidéosurveillance la concernant après un incident survenu dans une station de métro.

Motifs de la décision

L'autorité a retenu plusieurs manquements à l'encontre de la société :

• Obligation de garantir le droit d'accès (article 15 du RGPD) : Metro Service a refusé l'accès en invoquant trois motifs jugés irrecevables. Premièrement, l'autorité a estimé que les informations fournies (lieu précis, créneau horaire sur 10 jours, description de l'incident et de l'apparence de la personne) étaient suffisantes pour permettre une identification, même si elle était complexe. Deuxièmement, l'argument d'une charge de travail excessive a été rejeté, l'autorité rappelant que le choix d'une technologie de surveillance implique l'obligation de disposer des moyens techniques pour rechercher les données et répondre aux droits des personnes. Enfin, l'exception liée à la sécurité publique n'a pas été retenue car elle n'était pas étayée par une analyse de risque concrète et documentée, comme l'exige la loi danoise sur la protection des données (§ 22, paragraphe 1).
• Obligation de faciliter l'exercice des droits (article 12 du RGPD) : En refusant la demande sur la base de justifications non fondées et sans démontrer son incapacité réelle à identifier la personne concernée, Metro Service n'a pas respecté son obligation de faciliter l'exercice des droits de la personne concernée. L'autorité a également noté que le responsable du traitement ne peut se contenter d'affirmer qu'il existe un doute raisonnable sur l'identité sans demander les informations supplémentaires nécessaires pour la confirmer, conformément à l'article 12, paragraphe 6.
• Obligation de traitement loyal et de limitation de la conservation (article 5 du RGPD) : L'autorité a jugé que la suppression des enregistrements vidéo après la réception de la demande d'accès constituait un manquement au principe de traitement loyal (article 5, paragraphe 1, point a). Même si la durée de conservation de 30 jours était expirée pour une partie des données, le responsable du traitement avait l'obligation de conserver les enregistrements pertinents dans le but unique de répondre à la demande d'accès. En supprimant les données, Metro Service a privé le plaignant de la possibilité de faire valoir son droit d'accès auprès de l'autorité de contrôle et des tribunaux, portant ainsi atteinte à son droit à un recours effectif (article 79 du RGPD).

Décision de l'autorité

En conséquence, l'autorité a prononcé une critique sévère à l'encontre de Metro Service A/S.

Enseignements

Cette décision rappelle que :

• une fois qu'une demande d'accès est reçue, les données concernées doivent être conservées au-delà de leur durée de conservation habituelle dans le seul but de traiter cette demande et de permettre un éventuel recours ;
• le caractère prétendument excessif ou complexe d'une demande d'accès ne suffit pas à la rejeter ; le responsable du traitement doit démontrer concrètement son incapacité à identifier la personne ou le caractère manifestement infondé de la demande ;
• le choix d'une technologie de traitement, telle que la vidéosurveillance, ne doit pas faire obstacle à l'exercice des droits des personnes, et le responsable du traitement doit mettre en place les moyens techniques nécessaires pour extraire les données pertinentes.