L'autorité espagnole sanctionne une entreprise non pas pour la violation initiale des données, mais pour son manquement à se conformer à une décision antérieure lui ordonnant de mettre en œuvre des mesures correctrices.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié le 19 juin 2026 une décision de sanction à l'encontre de KAFFA KOFFEE ORGANISATION, S.L., comprenant le prononcé d'une amende de 900 €, pour ne pas avoir respecté une injonction émise dans une précédente décision.

Cette affaire fait suite à une précédente décision du 7 novembre 2024, dans laquelle l'autorité avait ordonné à l'entreprise de cesser d'envoyer des courriels révélant les adresses des destinataires entre eux et de prouver la mise en œuvre des mesures correctrices.

Motifs de la décision

L'autorité a retenu un manquement à l'encontre de la société :

• Obligation de se conformer aux injonctions de l'autorité de contrôle (article 58, paragraphe 2, du RGPD) : L'autorité relève que sa décision initiale du 7 novembre 2024, devenue définitive et exécutoire, a été dûment notifiée à l'entreprise, tout comme les rappels ultérieurs. Malgré une première notification reçue le 13 février 2025 et une seconde rejetée le 12 avril 2025, l'entreprise n'a jamais transmis les preuves de mise en conformité exigées. L'autorité considère que cette inaction constitue un manquement direct à l'obligation de coopérer et de se soumettre à ses pouvoirs correctifs. Ce manquement est qualifié d'infraction au titre de l'article 83, paragraphe 6, du RGPD.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 900 € à KAFFA KOFFEE ORGANISATION, S.L.

En outre, l'autorité a ordonné à l'entreprise de prouver, dans un délai d'un mois à compter du caractère définitif de la présente décision, qu'elle a bien mis en œuvre les mesures qui lui avaient été imposées dans la décision initiale du 7 novembre 2024.

Enseignements

Cette décision rappelle que :

• Le non-respect d'une injonction émise par une autorité de contrôle constitue une infraction distincte et sanctionnable en soi, indépendamment de la violation initiale.


• L'ignorance délibérée des pouvoirs correctifs d'une autorité, tels que prévus à l'article 58 du RGPD, est une infraction grave pouvant entraîner des amendes administratives très élevées, conformément à l'article 83, paragraphe 6, du RGPD.


• Les autorités de contrôle s'assurent de la bonne exécution de leurs décisions et peuvent engager de nouvelles procédures de sanction en cas d'absence de preuve de mise en conformité dans les délais impartis.


• La taille et la situation financière d'une entreprise, comme son statut de microentreprise et son faible chiffre d'affaires, sont des critères pris en compte pour moduler le montant de l'amende, mais ne l'exonèrent pas de son obligation de se conformer aux décisions.