L'autorité italienne a rappelé qu'un contexte conflictuel préexistant avec une personne concernée ne dispense pas un responsable de traitement de son obligation de répondre formellement et dans les délais à une demande d'exercice de droits, notamment une demande d'accès.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a publié une décision constatant des manquements à l'encontre de la société Cocontest S.r.l. pour des manquements en lien avec la gestion d'une demande d'accès et l'information fournie aux utilisateurs de sa plateforme gopillar.com.

L'affaire trouve son origine dans la plainte d'un utilisateur qui se plaignait de recevoir des communications promotionnelles non sollicitées par courriel et via une application de messagerie, et de ne pas avoir obtenu de réponse à sa demande d'accès à ses données personnelles.

Motifs de la décision

L'autorité a d'abord écarté les griefs relatifs aux communications promotionnelles, qualifiant le courriel unique de "spam léger" (soft spam) au sens de l'article 130, paragraphe 4, du Code italien de la protection des données, et le message via l'application de messagerie d'information technique. Elle a en revanche retenu les manquements suivants :

• Obligation de transparence et d'information (articles 12 et 13 du RGPD) : L'autorité a constaté que la politique de confidentialité du site était non conforme. Rédigée en anglais à partir d'un modèle générique non personnalisé, elle omettait des informations essentielles telles que les finalités spécifiques, les bases juridiques correspondantes, les destinataires des données, les durées de conservation et les modalités d'exercice des droits. Cette carence a été jugée contraire au principe de transparence, tel que défini aux articles 5, paragraphe 1, point a), 12, paragraphe 1, et 13 du RGPD.
• Obligation de donner suite à une demande d'accès (articles 12 et 15 du RGPD) : La société n'a pas répondu à la demande d'accès formelle du plaignant, qui souhaitait obtenir des informations complètes sur les données traitées à son sujet, y compris l'origine de son numéro de téléphone. L'entreprise a justifié son silence par des échanges téléphoniques antérieurs liés à un litige commercial, considérant à tort que ces discussions dispensaient d'une réponse formelle. L'autorité a rejeté cet argument, rappelant que toute demande d'exercice de droits doit recevoir une réponse spécifique et dans les délais, ce qui constitue une violation des obligations du responsable de traitement.

Décision de l'autorité

En conséquence, l'autorité a conclu que la société Cocontest S.r.l. avait enfreint les articles 12 et 13, ainsi que les articles 12 et 15 du RGPD.

Enseignements

Cette décision rappelle que :

• un contexte de litige commercial ou des communications informelles antérieures avec une personne concernée ne dispensent jamais un responsable de traitement de son obligation de répondre formellement et dans les délais à une demande d'exercice de droits.
• une politique de confidentialité doit être personnalisée, complète et rédigée dans une langue facilement compréhensible par les personnes concernées ; l'utilisation d'un modèle générique non complété et dans une langue étrangère ne satisfait pas à l'obligation de transparence.
• la collecte de données obligatoires pour la fourniture d'un service, comme un numéro de téléphone, doit être clairement expliquée à l'utilisateur, et l'absence de visibilité de cette donnée dans son espace personnel ne doit pas créer d'ambiguïté sur son traitement.