Cette décision illustre qu'un responsable de traitement ne peut ignorer une demande d'exercice de droits, même s'il y donne suite tardivement. L'absence de réponse dans le délai d'un mois constitue une violation distincte, aggravée en l'espèce par le défaut de coopération avec l'autorité de contrôle.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a publié une décision de sanction à l'encontre de l'Université Mediterranea de Reggio de Calabre, comprenant le prononcé d'une amende de 4 000 €, pour des manquements en lien avec la gestion d'une demande d'exercice de droits.

L'affaire trouve son origine dans la plainte d'une personne dont les données personnelles figuraient sur une liste électorale de 2016, toujours accessible en ligne, et dont la demande d'effacement est restée sans réponse de la part de l'université.

Motifs de la décision

• Obligation de répondre aux demandes d'exercice de droits (article 12, paragraphes 3 et 4 du RGPD) : L'autorité a constaté que l'université n'avait fourni aucune réponse à la demande d'effacement dans le délai d'un mois prévu. Elle rappelle que le responsable du traitement est tenu de répondre, même en cas de refus, en informant la personne concernée des motifs de son inaction et des voies de recours possibles, ce qui n'a pas été fait en l'espèce.
• Obligation de procéder à l'effacement des données (article 17 du RGPD) : Les données en question, relatives à des élections de 2016, n'étaient manifestement plus nécessaires au regard des finalités pour lesquelles elles avaient été collectées. L'université avait donc l'obligation de les effacer sans retard injustifié sur demande de la personne concernée, mais n'a procédé à la suppression que tardivement, après l'ouverture de la procédure de sanction et deux relances de l'autorité.
• Obligation de traiter les données de manière licite, loyale et transparente (article 5, paragraphe 1, point a) du RGPD) : L'absence totale de communication envers la personne concernée, qui a été laissée sans aucune information sur le sort de sa demande, ainsi que le défaut de réponse aux sollicitations de l'autorité, caractérisent un manquement aux principes fondamentaux de loyauté et de transparence.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 4 000 € à l’Université Mediterranea de Reggio de Calabre.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision rappelle que :

• L'obligation de répondre à une demande d'exercice de droits dans un délai d'un mois est impérative ; l'absence de réponse, même en cas de refus d'obtempérer, constitue une violation du RGPD.
• Le défaut de coopération avec l'autorité de contrôle lors de la phase d'instruction est un facteur aggravant pris en compte dans la détermination du montant de la sanction.
• Des données personnelles publiées pour une finalité spécifique (comme une élection) doivent être supprimées lorsque cette finalité est atteinte et qu'elles ne sont plus nécessaires, l'inaction face à une demande d'effacement légitime constituant un manquement.