L'autorité espagnole sanctionne le Département de la politique sociale et de l'égalité pour non-respect de l'article 26 du RGPD sur la corresponsabilité
L'Agence Espagnole de Protection des Données (AEPD) a aujourd'hui publié une décision à l'encontre du Département de la politique sociale et de l'égalité du Gouvernement régional de Galice pour des manquements en lien avec l'absence d'un accord de responsabilité conjointe avec un partenaire commercial.
Cette affaire débute par un article de presse signalant que le Département aurait cédé des données personnelles de titulaires de la carte de famille nombreuse à la société GADISA RETAIL S.L.U., sans leur consentement, pour l'envoi de chèques-cadeaux.
L’enquête menée par l’autorité a permis de constater :
* Obligation de définir les responsabilités respectives des responsables conjoints du traitement (article 26 du RGPD) : Dans le cadre d'un programme de réductions pour les familles nombreuses, le Département transmettait des données personnelles à la société GADISA RETAIL S.L.U. pour l'envoi de chèques-cadeaux. Bien que le Département qualifiait cette relation de responsable du traitement à sous-traitant sur la base d'un accord de 2014, l'autorité a conclu qu'ils agissaient en tant que responsables conjoints. Il a été établi que les deux entités déterminaient conjointement les finalités (développement du programme avec des objectifs propres à chacune) et les moyens du traitement, leurs participations respectives étant inséparables et nécessaires à la réalisation du traitement. L'accord de collaboration existant ne reflétait pas cette responsabilité conjointe, ne définissait pas les obligations respectives des parties, ni ne mettait à la disposition des personnes concernées les grandes lignes de cet accord, comme l'exige la réglementation.
En conséquence, l'autorité a déclaré que le Département de la politique sociale et de l'égalité avait enfreint le RGPD : l'AEPD ne peut en effet pas prononcer d'amendes à l'encontre du secteur public.
En outre, l’autorité a ordonné au Département d'adopter, dans un délai de six mois, un accord conforme aux exigences de l'article 26 du RGPD et de mettre les grandes lignes de celui-ci à la disposition des personnes concernées.
Cette affaire débute par un article de presse signalant que le Département aurait cédé des données personnelles de titulaires de la carte de famille nombreuse à la société GADISA RETAIL S.L.U., sans leur consentement, pour l'envoi de chèques-cadeaux.
L’enquête menée par l’autorité a permis de constater :
* Obligation de définir les responsabilités respectives des responsables conjoints du traitement (article 26 du RGPD) : Dans le cadre d'un programme de réductions pour les familles nombreuses, le Département transmettait des données personnelles à la société GADISA RETAIL S.L.U. pour l'envoi de chèques-cadeaux. Bien que le Département qualifiait cette relation de responsable du traitement à sous-traitant sur la base d'un accord de 2014, l'autorité a conclu qu'ils agissaient en tant que responsables conjoints. Il a été établi que les deux entités déterminaient conjointement les finalités (développement du programme avec des objectifs propres à chacune) et les moyens du traitement, leurs participations respectives étant inséparables et nécessaires à la réalisation du traitement. L'accord de collaboration existant ne reflétait pas cette responsabilité conjointe, ne définissait pas les obligations respectives des parties, ni ne mettait à la disposition des personnes concernées les grandes lignes de cet accord, comme l'exige la réglementation.
En conséquence, l'autorité a déclaré que le Département de la politique sociale et de l'égalité avait enfreint le RGPD : l'AEPD ne peut en effet pas prononcer d'amendes à l'encontre du secteur public.
En outre, l’autorité a ordonné au Département d'adopter, dans un délai de six mois, un accord conforme aux exigences de l'article 26 du RGPD et de mettre les grandes lignes de celui-ci à la disposition des personnes concernées.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire