Sanction pour un défaut de gouvernance interne ayant permis un accès non autorisé à des données, une collecte excessive de données sensibles, un manquement à l'information et des communications commerciales illicites.

Faits et contexte

L'Autorité Nationale de Surveillance du Traitement des Données à Caractère Personnel (ANSPDCP) roumaine a aujourd'hui publié une décision de sanction à l'encontre de AMATO BESTSELLER S.R.L. (comprenant le prononcé d'une amende totale de 285 395 lei, soit environ 54 560 €) pour des manquements en lien avec la sécurité, l'information des personnes, la minimisation des données et la prospection commerciale.

L'enquête a été initiée à la suite de plusieurs plaintes de personnes concernées signalant des violations potentielles du RGPD.

Motifs de la décision

• Obligation de garantir que le personnel n'agit que sur instruction (article 32, paragraphe 4, du RGPD) : L'autorité a constaté que le responsable du traitement n'avait pas mis en place de mesures pour s'assurer que son personnel n'accède aux données que sur instruction. En l'absence de procédures, de politiques et de formations adéquates, des employés et d'anciens employés ont pu accéder sans autorisation aux données personnelles d'un nombre considérable de personnes. Les données concernées incluaient des informations d'identification, des détails sur la vie personnelle et professionnelle, des données familiales, des informations sur les revenus et des données de santé.
• Obligation d'information lors de la collecte indirecte de données (article 14 du RGPD) : Il a été établi que l'opérateur n'avait pas fourni aux personnes concernées une information correcte et complète sur le traitement de leurs données personnelles. L'information délivrée n'était pas conforme aux exigences de transparence et de contenu prévues par le RGPD.
• Obligation de minimisation des données (article 5, paragraphe 1, point c), du RGPD) et traitement de catégories particulières de données (article 9 du RGPD) : L'enquête a révélé que la société traitait des données excessives, qui n'étaient ni adéquates, ni pertinentes, ni limitées à ce qui était nécessaire au regard des finalités poursuivies. Cette collecte incluait des catégories particulières de données, notamment des données concernant la santé, en violation du principe de minimisation.
• Interdiction de la prospection par automate d'appel sans consentement (article 12, paragraphe 1, de la loi 506/2004) : L'autorité a également constaté que l'opérateur avait réalisé des communications commerciales auprès d'un nombre significatif de personnes en utilisant des systèmes d'appel automatisés sans intervention humaine. Ces appels ont été effectués sans que les utilisateurs aient exprimé au préalable leur consentement exprès pour recevoir de telles communications, en violation de la législation sur les communications électroniques.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende totale de 285 395 lei (environ 54 560 €) à AMATO BESTSELLER S.R.L., répartie comme suit : 15 000 € pour la violation de l'article 32, paragraphe 4, 10 000 € pour celle de l'article 14, 20 000 € pour le manquement aux articles 5, paragraphe 1, point c) et 9, et 50 000 lei pour la violation de la loi 506/2004.

En outre, l'autorité a ordonné à la société de mettre en œuvre plusieurs mesures correctives :

• Définir et mettre en œuvre des procédures claires sur les flux de données, l'accès différencié du personnel et la formation périodique des employés.
• Assurer une information complète et transparente des personnes concernées, conformément aux articles 12 et 14 du RGPD.
• Garantir que le traitement des données respecte le principe de minimisation pour chaque finalité.
• Mettre en place un mécanisme pour recueillir le consentement exprès et préalable des personnes avant toute communication commerciale non sollicitée.

Enseignements

Cette décision rappelle que :

• La sécurité des données repose non seulement sur des mesures techniques, mais aussi sur des mesures organisationnelles robustes, incluant des politiques claires, des instructions précises et une formation régulière du personnel pour prévenir les accès non autorisés.
• La collecte de toute donnée, et a fortiori de catégories particulières de données comme la santé, doit être rigoureusement justifiée par la finalité du traitement et strictement limitée au nécessaire.
• L'obligation de transparence impose de fournir une information complète et exacte aux personnes concernées, y compris lorsque les données ne sont pas collectées directement auprès d'elles.
• Le consentement pour la prospection commerciale par automate d'appel doit être exprès et recueilli préalablement à toute communication, une absence de refus ne valant pas consentement.
• Un défaut de gouvernance interne (absence de procédures, de formation) est un facteur aggravant qui peut conduire à des violations multiples et cumulatives du RGPD.