Contexte de l’affaire
Le 10 février 2025, l’Autorité de protection des données espagnole a sanctionné ATRIUM LEX SFC, S.L. pour non-respect du RGPD. L’entreprise n’a pas informé un individu du traitement de ses données après avoir exigé une copie de sa pièce d’identité.
Un individu a demandé une copie de sa pièce d’identité. L’entreprise a collecté cette donnée sans expliquer comment elle serait utilisée. Le RGPD impose pourtant d’informer les personnes lors de la collecte de leurs données personnelles.
Manquements identifiés
Obligations d’information
Le RGPD dispose que toute collecte de données personnelles doit être accompagnée d’une information claire et transparente à l’égard de la personne concernée. Dans ce cas, ATRIUM LEX SFC, S.L. n’a pas fourni les informations requises lors de la collecte de la copie de la pièce d’identité.
Sécurité des données
L’entreprise n’a pas mis en place les mesures techniques et organisationnelles appropriées pour garantir la sécurité des données personnelles collectées, exposant ainsi ces informations à des risques.
Décision de l’AEPD
Compte tenu de ces manquements, l’AEPD a décidé d’imposer une sanction financière de 100 000 euros à ATRIUM LEX SFC, S.L. Cette décision souligne l’importance accordée par l’autorité espagnole à la protection des données personnelles et à la conformité au RGPD.
Leçons à tirer pour les entreprises
Cette sanction rappelle aux entreprises l’importance de respecter scrupuleusement les obligations d’information et de sécurité des données personnelles. Il est essentiel de :
Informer clairement les individus
Lors de la collecte de données personnelles, fournir des informations transparentes sur la finalité du traitement, les droits des personnes concernées et les coordonnées du responsable du traitement.
Assurer la sécurité des données
Mettre en place des mesures techniques et organisationnelles adéquates pour protéger les données contre tout accès non autorisé ou toute divulgation non souhaitée.
Un impact au-delà des frontières espagnoles
Bien que cette décision concerne une entreprise en Espagne, elle illustre un principe fondamental du RGPD : une violation dans un pays de l’UE peut avoir des implications pour toutes les entreprises européennes. Le RGPD étant un règlement applicable à l’ensemble de l’Union européenne, toute entreprise collectant et traitant des données de citoyens européens doit se conformer aux mêmes exigences.
Ne pas respecter ces obligations peut entraîner des sanctions similaires dans d’autres pays membres. Cette affaire rappelle donc aux entreprises opérant en Europe qu’elles doivent mettre en place des pratiques rigoureuses pour garantir la protection des données personnelles et éviter tout risque de sanction.
En respectant ces principes, les entreprises peuvent éviter des sanctions potentielles et renforcer la confiance de leurs clients et partenaires.
