L'Autorité de protection des données belge a publié une décision de sanction à l'encontre du courtier en données Y, comprenant le prononcé d'une amende de 20 000 €, pour des manquements liés à la licéité du traitement, à l'obligation de transparence et au respect des droits des personnes concernées.

Cette affaire débute par une plainte déposée par une personne physique signalant l'utilisation de ses données personnelles à des fins de marketing direct par un tiers, qui les avait obtenues auprès du courtier.

L’enquête menée par l’autorité a permis de constater :

* Obligation de licéité du traitement (article 5, paragraphe 1, point a et article 6 du RGPD) : Le courtier traitait à grande échelle des données personnelles, dont au moins 68 165 adresses de courriel, sans disposer d'une base juridique valable. L'intérêt légitime invoqué a été rejeté car aucune mise en balance des intérêts n'a été réalisée pour démontrer sa prévalence sur les droits et libertés des personnes concernées, qui ne pouvaient raisonnablement s'attendre à un tel traitement.

* Obligation de transparence et d'information (article 12 et article 14 du RGPD) : La société n'a pas fourni aux personnes concernées les informations requises dans le délai légal. De plus, sa déclaration de confidentialité contenait des informations incorrectes et incomplètes, notamment en omettant de mentionner la véritable source des données, Z7, et en indiquant initialement la Banque Carrefour des Entreprises (KBO), empêchant ainsi les personnes de comprendre la portée et les conséquences du traitement.

* Obligation de respecter le droit d'accès (article 15 du RGPD) : En réponse à une demande d'accès, le courtier n'a pas communiqué toutes les informations requises, omettant de préciser la source exacte des données, leur durée de conservation et la liste des destinataires spécifiques, limitant ainsi la capacité du plaignant à exercer pleinement ses autres droits.

En conséquence, l’autorité a imposé une amende de 20 000 € au courtier en données Y.

En outre, l’autorité a ordonné à la société de supprimer les données personnelles traitées sans base juridique valable, d'en informer les destinataires, de mettre ses futurs traitements en conformité avec les obligations d'information et de répondre intégralement à la demande d'accès du plaignant sous 30 jours.