L'autorité espagnole sanctionne une société pour ne pas avoir traité une demande d'exercice de droits envoyée en réponse à un courriel commercial, jugeant que le responsable de traitement doit anticiper ce canal de communication même s'il en a désigné d'autres comme préférentiels.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de VACACIONES EDREAMS S.L. (comprenant le prononcé d'une amende de 20 000 €) pour des manquements en lien avec la gestion des demandes d'exercice de droits.

L'affaire trouve son origine dans une plainte transmise par l'autorité du Bade-Wurtemberg, concernant l'absence de réponse à une demande de droit d'accès et d'opposition envoyée par un client le 23 août 2022.

Motifs de la décision

• Obligation de répondre à une demande d'accès (article 15 du RGPD) : L'autorité a constaté que la personne concernée avait exercé son droit d'accès en répondant à un courriel publicitaire envoyé par la société. La demande n'a été satisfaite qu'en octobre 2023, soit plus d'un an après, et uniquement suite à l'intervention de l'autorité. La société a soutenu qu'elle n'avait pas reçu la demande car elle utilisait une plateforme externe qui supprimait automatiquement les réponses aux communications commerciales, et que la personne aurait dû utiliser les canaux dédiés (formulaire de confidentialité). L'autorité a rejeté cet argument, estimant qu'il était prévisible qu'un destinataire réponde directement à un courriel. En se référant au considérant (59) du RGPD, elle a rappelé que le responsable de traitement doit faciliter l'exercice des droits et qu'il lui incombe de mettre en place les moyens techniques et organisationnels pour traiter les demandes, quel que soit le canal utilisé par la personne, dès lors que celui-ci est un point de contact initié par le responsable lui-même.
• Obligation de traiter une demande d'opposition (article 21 du RGPD) : Pour les mêmes motifs factuels et juridiques, l'autorité a conclu à une violation du droit d'opposition. La demande d'opposition au traitement des données à des fins de prospection commerciale, formulée dans le même courriel du 23 août 2022, a été ignorée pendant plus d'un an. L'argument de la société, fondé sur l'utilisation d'un canal non prévu et d'un outil technique ne permettant pas la réception des réponses, a été écarté. L'autorité a insisté sur la responsabilité proactive du responsable de traitement, qui ne peut se retrancher derrière ses choix techniques pour justifier le non-respect des droits des personnes. La réponse tardive, après l'ouverture de l'enquête, ne saurait effacer le manquement initial.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 20 000 € à VACACIONES EDREAMS, S.L., se décomposant en 10 000 € pour la violation de l'article 15 du RGPD et 10 000 € pour celle de l'article 21 du RGPD.

Enseignements

Cette décision rappelle que :

• Le fait de mettre à disposition des canaux dédiés à l'exercice des droits (formulaire, adresse courriel spécifique) ne décharge pas le responsable de traitement de son obligation de traiter les demandes reçues par d'autres biais, y compris en réponse à des communications commerciales.
• Il est de la responsabilité du responsable de traitement d'anticiper les canaux de communication que les personnes concernées sont susceptibles d'utiliser pour exercer leurs droits, et de mettre en place les processus techniques et organisationnels pour les gérer.
• Le choix d'un outil ou d'une plateforme technique qui empêche la réception ou le traitement de demandes d'exercice de droits (par exemple, un système de "non-réponse" qui supprime les réponses) ne constitue pas une excuse valable et engage la responsabilité du responsable de traitement.