L'autorité roumaine sanctionne un responsable du traitement pour avoir mis 12 mois à traiter une demande d'effacement sans jamais y répondre, et pour des retards allant jusqu'à 37 mois pour d'autres personnes concernées.

Faits et contexte

L'autorité roumaine de protection des données (ANSPDCP) a aujourd'hui publié une décision de sanction à l'encontre de Ascendex Technology SRL, comprenant le prononcé d'une amende de 11 000 €, pour des manquements en lien avec la gestion des demandes d'exercice de droits.

L'affaire trouve son origine dans une plainte transmise par l'autorité française (CNIL), qui a désigné l'autorité roumaine comme autorité de contrôle chef de file en raison de l'établissement unique du responsable du traitement en Roumanie, conformément à l'article 4, point 23, lettre b), du RGPD.

Motifs de la décision

• Obligation de faciliter l'exercice des droits et de répondre dans les délais (article 12 et article 17 du RGPD) : L'autorité a constaté que le responsable du traitement avait traité la demande d'effacement du plaignant dans un délai d'environ 12 mois, sans toutefois lui communiquer de réponse finale ni justifier le dépassement du délai légal. L'enquête a également révélé que d'autres demandes d'effacement, émanant de personnes concernées de divers États membres ou de pays tiers, avaient été traitées avec des retards allant jusqu'à 37 mois. L'autorité a conclu que ces manquements violaient les obligations de faciliter l'exercice des droits et de fournir une réponse dans les délais prévus.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 57 839 lei (environ 11 000 €) à Ascendex Technology SRL.

En outre, l'autorité a ordonné au responsable du traitement de communiquer une réponse appropriée au plaignant et aux autres personnes concernées se trouvant dans une situation similaire, et de mettre en place des formations régulières pour son personnel sur la gestion des demandes d'exercice de droits dans le respect des exigences du RGPD.

Enseignements

Cette décision rappelle que :

• Le respect des délais de réponse aux demandes d'exercice de droits (un mois, prolongeable de deux mois) est une obligation stricte, et des retards de plusieurs mois constituent une violation grave.
• L'absence de réponse à une personne concernée, même si sa demande est traitée en interne, constitue un manquement distinct à l'obligation de transparence et d'information.
• Toute prolongation du délai de réponse au-delà d'un mois doit être dûment justifiée auprès de la personne concernée, conformément aux dispositions de l'article 12, paragraphe 3, du RGPD.
• La découverte de manquements systémiques, affectant plusieurs personnes concernées sur une longue période, est un facteur aggravant pris en compte par les autorités pour déterminer le montant de la sanction.