Auteur : Mattice De Schagt (M. Franklin)
Une entreprise (le défendeur) a enregistré des conversations téléphoniques avec son client (le plaignant) sans en informer le plaignant. Le plaignant a essayé son droit d’accès exercice, mais le défendeur a refusé d’en fournir une copie, ce qui a donné lieu à une plainte auprès du Autorité de protection des données (GBA). Cet article fournit un bref résumé des questions juridiques les plus importantes auxquelles l’Autorité de protection des données a répondu.
Faits
Les deux parties avaient conclu deux accords concernant le développement d’un site Web. Un différend est survenu entre elles en 2021, qui a conduit au dépôt d’une plainte le 7 avril 2022. La discussion entre les deux parties a montré que le prévenu avait enregistré les conversations avec la plaignante sans en informer la plaignante.
Le plaignant a tenté d’exercer son droit d’accès à ces conversations téléphoniques enregistrées, mais le mis en cause a refusé de fournir une copie des enregistrements et a laissé entendre que le plaignant ne pouvait les écouter qu’à ses bureaux. Le plaignant a déclaré que ses droits n’étaient pas facilités et qu’il avait droit à une copie de ces conversations et que son droit d’accès avait donc été violé, ce qui a conduit au dépôt d’une plainte auprès de l’Autorité de protection des données (GBA).
Décision de la Chambre contentieuse
De Chambre Geschillen a jugé que plusieurs dispositions du RGPD avaient été violées par le défendeur, notamment le principe de transparence et le droit d’accès.
L’article 12, paragraphe 1, du RGPD impose au responsable du traitement de prendre des « mesures appropriées » pour garantir que la personne concernée reçoive des informations concises, transparentes, intelligibles et facilement accessibles sur le traitement, en particulier lorsque ces informations sont spécifiquement destinées à un enfant.
La Chambre Contentieuse note que bien que les accords et la déclaration de confidentialité aient informé le plaignant de l’enregistrement des conversations téléphoniques pour l’exécution de l’accord, toutes les informations essentielles n’ont pas été fournies de manière adéquate. Par exemple, la déclaration de confidentialité n’indique pas clairement quelles données personnelles sont traitées, à quelles fins et sur quelle base juridique, comme l’exige l’article 13 du RGPD. Idéalement, le responsable du traitement devrait fournir une liste des différentes finalités pour lesquelles il traite les données personnelles, chacune indiquant quelles (catégories de) données personnelles sont traitées à cette fin, à partir de quelle source elles ont été obtenues, pendant combien de temps elles sont conservées et avec quelle source. (catégories de) destinataires ils sont traités. (peuvent) être partagés.
En outre, la déclaration de confidentialité n’indique pas clairement les périodes de conservation des données personnelles, ni les critères de leur détermination, comme l’exige l’article 13 (2) a) du RGPD. La déclaration indique simplement que les données ont été conservées dans les délais légaux, ce qui n’est pas suffisant selon les lignes directrices du groupe de travail sur la protection des données. En conséquence, la Chambre Contentieuse conclut à des violations de plusieurs dispositions du RGPD, notamment l’article 5(1)(a), l’article 12(1)(2), l’article 13(1)(c) et 2a). .
Concernant la violation du droit d’accès, le plaignant a exercé à plusieurs reprises son droit d’accès en vertu de l’article 15 du RGPD contre le défendeur en demandant qu’on lui fournisse une copie des enregistrements des conversations téléphoniques auxquelles le plaignant avait participé. Conformément à l’article 15, paragraphe 1, du RGPD, la personne concernée a le droit d’obtenir du responsable du traitement des informations sur la question de savoir si des données personnelles la concernant sont traitées ou non et, le cas échéant, quelles données personnelles la concernant. sont spécifiquement traités. Le droit d’accès a pour finalité de permettre à la personne concernée de comprendre comment ses données personnelles sont traitées et quelles en sont les conséquences, ainsi que de vérifier l’exactitude des données traitées sans avoir à justifier son intention.
Lorsqu’un plaignant souhaite exercer son droit d’accès, le responsable du traitement devrait faciliter cet exercice et fournir des informations sur les mesures prises en réponse à sa demande sans retard injustifié et, en tout état de cause, dans un délai d’un mois à compter de la réception de la demande. pris. Dans cette affaire, le plaignant n’a eu la possibilité d’écouter les enregistrements audio que sur place, au siège du contrôleur, alors que la Chambre Contentieuse estime qu’une copie des enregistrements audio aurait dû être fournie au plaignant. Les transcriptions des conversations téléphoniques ne suffiraient pas non plus, car elles ne révèlent pas la voix du plaignant, qui constitue également une donnée personnelle. Pour cette raison, la Chambre Contentieuse a jugé que le défendeur n’avait pas correctement et légalement respecté l’exercice du droit d’accès par le plaignant. Le prévenu a été condamné à une amende de 40 000 euros.
Bron : M. Franklin
