Le RGPD ne part pas en vacances

Début juillet, j'indiquais sur X avoir reçu une prolongation de délais suite à un droit d’accès effectué sur le fondement de l’article 15 du RGPD. La réponse du responsable de traitement comprenait précisément ces termes « En raison des congés d’été, le délai de réponse à votre demande est porté à trois mois ».

Le délai de réponse ne saurait pourtant être de trois mois pour un confort d’organisation interne. La prolongation de deux mois prévue à l’article 12 (3) du RGPD est une exception. Elle doit être nécessaire, tenir compte de la complexité de la demande ou du nombre de demandes reçues, et comprendre les motifs du retard. Les congés estivaux, une sous-capacité ponctuelle ou une difficulté d’organisation interne ne correspondent absolument pas à ces critères.De bonne foi, le responsable de traitement a finalement rectifié sa position et a communiqué une réponse complète au titre de l’article 15 moins d'une semaine après. Le considérant 59 du RGPD impose aussi de faciliter l’exercice des droits des personnes concernées, et de répondre « dans les meilleurs délais », le délai d’un mois étant par ailleurs un simple plafond.

Si cette position avait été maintenue, les mécanismes suivants auraient eu vocation à s'appliquer.

Premièrement, sur le volet répressif, l’article R 625-11 du Code pénal prévoit une contravention de cinquième classe pour le fait, pour le responsable d’un traitement automatisé de données à caractère personnel, de ne pas répondre à une demande fondée notamment sur l’article 15 du RGPD. Le plafond est de 1500 € pour une personne physique, conformément à l’article 131-13 5° du même Code, et est quintuplé à 7500 € pour une personne morale en application de l'article 131-41 du même Code.

Deuxièmement, la CNIL dispose d'un pouvoir de sanction administrative, incluant des injonctions et amendes. Le plafond applicable peut atteindre 20 millions d’euros ou 4% du CA annuel mondial total, le montant le plus élevé étant retenu.L'APD belge APD/GBA avait via sa décision n°107/2024 infligé une sanction de 100 000 euros pour non-respect des articles 12 et 15 du RGPD, bien que la justice ait ensuite revu ce montant à la baisse.En cas de non-respect des articles 12 et 15 du RGPD, des plaintes pénales sont systématiquement déposées en parallèle des plaintes CNIL, qui s'avèrent moins efficaces pour contraindre les responsables de traitement qui reçoivent des rappels aux obligations légales non contraignants (et ce en boucle y compris en cas de nouvelles plaintes CNIL après 4 mois post RAL).

Sur le plan jurisprudentiel, il est dommage que ce motif de refus ne puisse être challengé mais l'issue de la procédure faisait que peu de doute.Par exemple, aux termes de la décision hongroise NAIH-5361-1/2022, le barreau de Budapest avait invoqué la fermeture de ses bureaux. Cette fermeture était sans incidence sur le délai de réponse, une violation des articles 12 et 15 du RGPD ayant été retenue par l'APD hongroise.

Source :

- Tweet @JRocheAvocat : https://x.com/JRocheAvocat/status/2074156011116437614

- Version Nitter : https://nitter.miningtcup.me/JRocheAvocat/status/2074156011116437614

- Crédits image : Unsplash - Jubéo HERNANDEZ : https://unsplash.com/fr/photos/flotteur-jaune-de-piscine-au-bord-de-la-piscine-ZmWLGkPe1Sg