Une amende a été infligée pour non-respect d'une injonction de l'autorité, qui faisait suite à une absence de réponse à une demande de droit d'accès.

Faits et contexte

L'autorité finlandaise de protection des données (Tietosuojavaltuutetun toimisto) a publié une décision de sanction à l'encontre du Centre de Chirurgie Esthétique d'Helsinki, comprenant le prononcé d'une amende de 12 000 €, pour des manquements liés au non-respect d'une injonction et au droit d'accès des personnes concernées.

L'affaire trouve son origine dans la plainte d'une personne concernée n'ayant pas reçu de réponse à sa demande d'accès à ses données personnelles.

Motifs de la décision

• Obligation de garantir le droit d'accès (article 15 du RGPD) : Le responsable du traitement n'a pas donné suite à la demande d'une personne souhaitant accéder à ses données. L'autorité a rappelé que l'absence de réponse dans les délais prévus constitue une violation directe des droits conférés aux personnes concernées.
• Obligation de se conformer aux injonctions de l'autorité de contrôle (article 58, paragraphe 2, du RGPD) : Suite à la plainte, l'autorité avait enjoint au centre de fournir les informations demandées à la personne concernée. Le constat de l'absence de mise en conformité avec cette mesure corrective contraignante a caractérisé un manquement distinct, sanctionné en vertu de l'article 83, paragraphe 6, du RGPD.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 12 000 € au Centre de Chirurgie Esthétique d'Helsinki.

En outre, l'autorité a ordonné au responsable du traitement de fournir à la personne concernée une copie de ses données personnelles dans un délai d'un mois.

Enseignements

Cette décision rappelle que :

• Le non-respect d'une mesure corrective contraignante, telle qu'une injonction émise par une autorité de contrôle, constitue un manquement autonome et grave, susceptible d'entraîner une sanction administrative pécuniaire.
• L'absence de réponse à une demande d'exercice de droits n'est pas seulement une violation des droits de la personne concernée, mais peut également conduire à une escalade des mesures correctives et des sanctions.
• Les responsables de traitement doivent mettre en place des procédures internes efficaces pour traiter non seulement les demandes des personnes concernées, mais également les communications et les ordres formels des autorités de protection des données.