La plus haute juridiction administrative finlandaise a confirmé une amende de 792 639 € à l'encontre d'un commerçant en ligne pour ne pas avoir défini de durée de conservation pour les données des comptes clients, reportant cette responsabilité sur les clients eux-mêmes.

Faits et contexte

La Cour administrative suprême de Finlande a confirmé une décision de sanction de l'autorité de protection des données finlandaise (Tietosuojavaltuutetun toimisto) à l'encontre de Verkkokauppa.com Oyj, prononçant une amende de 792 639 € pour des manquements liés à la durée de conservation des données des comptes clients.

L'affaire trouve son origine dans une enquête du collège des sanctions de l'autorité finlandaise concernant les pratiques de conservation des données de l'entreprise.

Motifs de la décision

• Obligation de limitation de la conservation (article 05 du RGPD): La société n'avait pas défini de durée de conservation pour les données des comptes clients de sa boutique en ligne. Selon ses pratiques, les données étaient conservées indéfiniment jusqu'à ce que le client demande lui-même leur suppression. La Cour a estimé que le responsable du traitement ne peut se décharger de son obligation de définir une durée de conservation en la faisant reposer exclusivement sur une action de la personne concernée. Cette pratique a conduit à une conservation des données, y compris celles issues d'achats uniques, pour une durée plus longue que ne l'exigeait la finalité du traitement, puisque la création d'un compte était obligatoire pour tout achat.

Décision de l'autorité

En conséquence, la Cour administrative suprême a confirmé la décision du tribunal administratif, imposant une amende de 792 639 € à Verkkokauppa.com Oyj. Initialement fixée à 856 000 € par le collège des sanctions, l'amende avait été réduite par le tribunal administratif sur la base du chiffre d'affaires le plus récent de l'entreprise, montant qui a été confirmé en dernière instance.

Enseignements

Cette décision rappelle que :

• La définition d'une durée de conservation est une obligation proactive du responsable du traitement et ne peut être déléguée à la personne concernée par le biais d'une simple possibilité de demande de suppression.
• Le principe de limitation de la conservation impose de fixer des délais précis et justifiés au regard de la finalité, au-delà desquels les données doivent être supprimées ou anonymisées d'office.
• L'obligation pour un client de créer un compte pour effectuer un achat, même unique, rend d'autant plus critique la définition d'une durée de conservation adéquate pour les données de ce compte.
• La responsabilité de la gestion du cycle de vie des données incombe entièrement au responsable du traitement, qui ne peut s'en exonérer en offrant simplement un droit à l'effacement.