L'autorité espagnole de protection des données sanctionne une société pour ne pas avoir répondu à une demande d'exercice du droit d'accès, suite à une plainte transfrontalière initiée en Italie.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de TELECONTACT LIST S.L. (comprenant le prononcé d'une amende de 1 000 €) pour des manquements en lien avec le respect des droits des personnes concernées.

L'affaire trouve son origine dans une plainte déposée en Italie par une personne physique n'ayant pas reçu de réponse à sa demande d'accès à ses données personnelles, plainte qui a ensuite été transmise à l'AEPD via le système de coopération européenne.

Motifs de la décision

L'autorité a retenu un manquement principal à l'encontre de la société :

• Obligation de répondre aux demandes d'accès (article 15 du RGPD) : L'autorité a constaté que la société n'avait pas donné suite à la demande d'exercice du droit d'accès formulée par le plaignant le 1er mars 2023. En ne fournissant aucune réponse, la société a manqué à son obligation de faciliter l'exercice des droits de la personne concernée et de lui fournir les informations prévues par le RGPD. L'AEPD, agissant en tant qu'autorité chef de file dans le cadre de cette plainte transfrontalière, a conclu que cette absence de réponse constituait une violation directe des obligations imposées au responsable du traitement.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 1 000 € à TELECONTACT LIST S.L. Toutefois, la société a bénéficié d'une réduction de 40 % pour reconnaissance de sa responsabilité et paiement volontaire, ramenant le montant acquitté à 600 €.

En outre, l'autorité a ordonné à la société de répondre à la demande d'accès du plaignant et de fournir la preuve de cette réponse dans un délai de 30 jours.

Enseignements

Cette décision rappelle que :

• Toute demande d'exercice de droits, quelle que soit son origine, doit être traitée avec diligence et recevoir une réponse dans les délais impartis, une absence totale de réponse constituant une violation caractérisée.
• Une plainte déposée auprès d'une autorité de contrôle d'un autre État membre peut être transmise à l'autorité compétente via le mécanisme de coopération et aboutir à une procédure de sanction locale.
• L'obligation de respecter les droits des personnes s'applique à tous les responsables du traitement, indépendamment de leur taille ou de leur chiffre d'affaires (ici, 950 504 € en 2022).
• Les mécanismes de reconnaissance de responsabilité et de paiement volontaire peuvent permettre une réduction significative du montant de l'amende, constituant une option stratégique à évaluer en cas de procédure.