L'autorité espagnole sanctionne une société pour ne pas avoir respecté une injonction antérieure lui ordonnant de formaliser sa relation avec un prestataire. La société a tenté de requalifier la relation en coresponsabilité, a fourni des informations contradictoires et a omis d'informer l'autorité de la vente de ses actifs, ce qui constitue une obstruction aux pouvoirs de l'autorité.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de RAMONA FILMS, S.L. (comprenant le prononcé d'une amende de 60 000 €) pour des manquements en lien avec le non-respect d'une injonction émise dans une précédente décision.

L'affaire découle du suivi d'une précédente décision de sanction du 17 novembre 2023, qui avait ordonné à la société de régulariser sa relation contractuelle avec un prestataire dans un délai d'un mois.

Motifs de la décision

• Obstruction aux pouvoirs de l'autorité de contrôle (article 58, paragraphe 2 du RGPD) : L'autorité avait ordonné à RAMONA FILMS, S.L. de l'informer de la signature d'un contrat de sous-traitant avec la société ***EMPRESA.1, suite à la constatation d'une violation de l'article 28 du RGPD. En réponse, la société a d'abord affirmé que la relation était en réalité une coresponsabilité de traitement, puis a fourni un projet d'accord de coresponsabilité non daté et non signé. Face aux demandes de l'autorité, elle a finalement admis qu'aucun accord n'avait jamais été formalisé en raison de réticences de la part de ***EMPRESA.1 et a déclaré avoir mis fin "de fait" à la relation, sans pouvoir en apporter la preuve. De plus, la société n'a informé l'autorité de la vente de ses domaines à une autre entité, Clams & Turnips Enterprise Korlátolt Felelősségű Társaság, que plusieurs mois après la transaction et seulement après y avoir été invitée. L'autorité a conclu que ces réponses contradictoires et l'absence de preuves documentaires démontraient un manquement délibéré à l'obligation de se conformer à une mesure contraignante imposée en vertu de ses pouvoirs.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 60 000 € à RAMONA FILMS, S.L.

Enseignements

Cette décision rappelle que :

• Le non-respect d'une injonction émise par une autorité de contrôle constitue une infraction distincte et grave, sanctionnée spécifiquement par le RGPD.
• La requalification d'une relation de sous-traitance en coresponsabilité doit être justifiée et formalisée par un accord contractuel conforme à l'article 26 du RGPD, et non être utilisée comme un artifice pour se soustraire à ses obligations.
• Les responsables du traitement doivent faire preuve de transparence et de coopération lors des enquêtes, car fournir des informations contradictoires, incomplètes ou tardives est considéré comme une obstruction.
• La cession d'actifs (tels que des noms de domaine et les activités associées) en cours de procédure doit être communiquée de manière proactive à l'autorité de contrôle, sous peine d'être interprétée comme une tentative de se soustraire à ses responsabilités.