Un responsable de traitement a été sanctionné pour avoir totalement ignoré une demande de droit d'accès et, par la suite, les sollicitations de l'autorité de contrôle, illustrant un manquement cumulé aux obligations de réponse à la personne concernée et de coopération avec l'autorité.

Faits et contexte

L'autorité italienne de protection des données (Garante) a aujourd'hui publié une décision de sanction à l'encontre de la Coopérative Sociale Leontinoi, comprenant le prononcé d'une amende de 1 000 €, pour des manquements en lien avec le non-respect d'une demande de droit d'accès et l'absence de coopération avec ses services.

L'affaire trouve son origine dans la plainte d'une personne n'ayant reçu aucune réponse à sa demande d'accès à ses données personnelles.

Motifs de la décision

• Obligation de répondre aux demandes d'exercice des droits (article 12 et article 15 du RGPD) : L'autorité a constaté que le responsable du traitement n'a fourni aucune réponse à la demande d'accès formulée par le plaignant. Ce faisant, il a manqué à son obligation de fournir les informations relatives aux suites données à la demande dans le délai d'un mois, en violation de l'article 12, paragraphe 3, du RGPD. De plus, il n'a pas non plus informé la personne concernée des motifs de son inaction et de ses voies de recours, comme l'exige l'article 12, paragraphe 4, du RGPD.
• Obligation de coopérer avec l'autorité de contrôle (article 31 du RGPD) : Le responsable du traitement n'a donné aucune suite à la demande d'informations que lui a adressée l'autorité dans le cadre de l'instruction de la plainte. L'autorité rappelle que cette obligation de coopération, prévue par l'article 31 du RGPD et l'article 157 du Code italien de protection des données, est un devoir fondamental, comme le confirme la jurisprudence de la Cour de cassation italienne (Cass. 12 juin 2018, n. 15332).
• Obligation de licéité et de loyauté du traitement (article 5, paragraphe 1, point a) et article 6 du RGPD) : L'autorité a considéré que l'ensemble de la conduite du responsable du traitement, en ignorant à la fois la personne concernée et l'autorité de contrôle, constituait une violation des principes fondamentaux de loyauté et de licéité du traitement.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 1 000 € à la Coopérative Sociale Leontinoi.

En outre, l'autorité a ordonné au responsable du traitement de faire droit à la demande d'accès du plaignant dans un délai de trente jours et de lui en apporter la preuve.

Enseignements

Cette décision rappelle que :

• L'absence totale de réponse à une demande d'exercice de droits constitue une violation autonome du RGPD, indépendamment de la légitimité du traitement sous-jacent.
• Le devoir de coopération avec l'autorité de contrôle est une obligation distincte et impérative ; son non-respect est considéré comme un facteur aggravant lors de la détermination de la sanction.
• Même les structures de taille modeste ou à vocation sociale sont tenues de respecter les obligations procédurales fondamentales du RGPD, notamment la réponse aux personnes concernées et la coopération avec l'autorité.