- La CPD a condamné une personne morale à une amende de 9 500 euros, en se basant sur la jurisprudence de la CJCE selon laquelle les infractions ne doivent pas être attribuées à une personne physique déterminée.
- La coopération avec l’autorité de surveillance ainsi que la satisfaction ultérieure des demandes de renseignements ont atténué la sanction malgré la négligence et l’absence d’infractions antérieures.
L’autorité autrichienne de protection des données (DSB) a infligé une amende de 9’500 euros à une entreprise. punitL’entreprise a été condamnée pour avoir d’abord laissé traîner une demande de renseignements, puis pour avoir effacé les données personnelles au lieu de les communiquer, apparemment non pas intentionnellement, mais par négligence.
Cette décision s’appuie directement sur les Jurisprudence Deutsche-Wohnen de la CJUE, selon laquelle les États membres ne peuvent pas faire dépendre une amende en vertu du RGPD de l’imputation de l’infraction à une personne déterminée ; les personnes morales doivent plutôt être responsables de toutes les infractions commises dans le cadre de l’activité entrepreneuriale. § L’article 30 de la loi autrichienne sur la protection des données prévoit qu’une amende infligée à une personne morale présuppose l’imputation de l’infraction à une personne physique déterminée et nommée. Suite à la décision de la CJCE, la CPD n’applique désormais plus cette disposition.
Les facteurs suivants ont notamment été pris en compte lors de l’attribution des amendes :
- Le chiffre d’affaires du groupe, ici environ 98 millions d’euros ;
- il n’y a pas eu de violation antérieure du RGPD ;
- l’entreprise avait coopéré avec la CPD “notamment en ne contestant pas les faits reprochés, en reconnaissant sa faute et en se montrant compréhensive après la notification de la mise en demeure de se justifier. L’accusée s’est montrée repentante et la CPD part du principe qu’elle ne procédera pas à l’avenir à une telle violation des droits d’une personne concernée” ;
- l’entreprise avait fourni des informations sur les données encore disponibles dans le cadre de la procédure de réclamation.
Les entreprises devraient donc respecter les droits des personnes concernées afin de réduire les risques ou de diminuer les amendes, mieux vaut tard que jamais, même si certaines choses ont déjà mal tourné, et il est bien entendu utile de coopérer avec les autorités dans un cadre raisonnable.