Le défaut de réponse à une demande d'information d'une autorité de contrôle constitue une violation de ses pouvoirs d'enquête, même en l'absence de manquement sur le fond de l'affaire initiale.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision déclarant une infraction à l'encontre du Service de santé d'Estrémadure (SES) pour un manquement lié à son obligation de coopérer dans le cadre d'une enquête.

L'affaire trouve son origine dans une plainte déposée contre le SES, qui a conduit l'autorité à exercer ses pouvoirs d'enquête.

Motifs de la décision

• Obligation de coopérer avec l'autorité de contrôle (article 58 du RGPD) : L'autorité a constaté que le SES n'avait pas répondu dans les délais impartis à un des multiples requerimientos d'information qui lui avaient été adressés dans le cadre de l'instruction de la plainte. L'AEPD a considéré que ce défaut de réponse constituait une entrave à l'exercice de ses pouvoirs d'enquête, tels que définis à l'article 58, paragraphe 1, du RGPD. L'autorité a écarté les arguments du SES concernant une confusion interne, jugeant que ceux-ci ne justifiaient pas le non-respect de ses obligations. Cette infraction est spécifiquement visée à l'article 83, paragraphe 5, point e), du RGPD.

Décision de l'autorité

En conséquence, l'autorité a déclaré que le Service de santé d'Estrémadure a commis une infraction à l'article 58, paragraphe 1, du RGPD.

En outre, l'autorité a ordonné la notification de sa décision au Défenseur du peuple et a décidé de la rendre publique.

Enseignements

Cette décision rappelle que :

• L'obligation de coopérer avec l'autorité de contrôle est impérative et une absence de réponse à une demande d'information constitue une infraction en soi.
• Une infraction formelle, telle que le non-respect d'un délai de réponse, peut être sanctionnée indépendamment de l'existence d'une violation matérielle des règles de protection des données dans l'affaire d'origine.
• Des difficultés d'organisation interne ou une confusion sur l'identité du responsable de traitement ne constituent pas une excuse valable pour ne pas répondre aux sollicitations d'une autorité de contrôle.
• Les autorités de contrôle disposent de pouvoirs d'enquête étendus en vertu de l'article 58 du RGPD, et toute entrave à l'exercice de ces pouvoirs est susceptible de sanction.