Cette leçon explique qui répond en cas de non-respect des règles, ce que peut faire l'AEPD, quelles sanctions existent et quel rôle a le délégué à la protection des données.
L'Agencia Española de Protección de Datos
L'AEPD est l'autorité de contrôle indépendante en Espagne. Selon l'article 58 du RGPD et la LOPDGDD, elle peut notamment :
- enquêter et demander des informations ou accéder aux locaux et aux équipements
- avertir et rappeler à l'ordre celui qui ne respecte pas les règles
- ordonner que les droits des personnes soient satisfaits ou qu'un traitement soit mis en conformité
- limiter ou interdire un traitement
- infliger des amendes administratives
Elle instruit aussi les réclamations des personnes concernées. Contrairement à ce qui se passe dans d'autres pays, l'AEPD inflige directement les amendes. Aux administrations publiques, en revanche, elle n'inflige pas d'amendes : elle rend une décision qui constate l'infraction et fixe les mesures pour la corriger (article 77 de la LOPDGDD).
Les amendes
L'article 83 du RGPD fixe deux niveaux :
- jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu, pour des infractions comme ne pas appliquer de mesures de sécurité, ne pas notifier une violation ou ne pas respecter les obligations des sous-traitants
- jusqu'à 20 millions d'euros ou 4 % de ce chiffre d'affaires, le montant le plus élevé étant retenu, pour des infractions aux principes de base, aux bases du traitement ou aux droits des personnes
L'amende doit être effective, proportionnée et dissuasive. L'AEPD tient compte de facteurs comme la gravité, la durée, l'intention ou la négligence, les mesures prises et la coopération avec elle.
Infractions et prescription
La LOPDGDD classe les infractions en trois degrés (articles 72 à 74) :
- très graves : par exemple, traiter des données sans base juridique valable. Elles se prescrivent par trois ans
- graves : par exemple, ne pas appliquer les mesures de sécurité adéquates, ne pas notifier une violation ou traiter les données d'un mineur de moins de 14 ans sans le consentement du titulaire de l'autorité parentale. Elles se prescrivent par deux ans
- légères : par exemple, ne pas donner aux personnes toutes les informations requises. Elles se prescrivent par un an
Les sanctions prononcées se prescrivent aussi (article 78) : par un an celles allant jusqu'à 40 000 euros, par deux ans celles de 40 001 à 300 000 euros et par trois ans celles de plus de 300 000 euros.
Et moi, en tant que travailleur ou travailleuse ?
L'amende de l'AEPD retombe normalement sur l'entreprise, qui est le responsable. Mais cela ne veut pas dire que vous ne répondez de rien :
- Si vous ne respectez pas les instructions ou si vous révélez des données sans autorisation, l'entreprise peut vous appliquer des mesures disciplinaires, y compris le licenciement, pour manquement à la bonne foi contractuelle et abus de confiance (article 54 de l'Estatuto de los Trabajadores).
- Accéder sans autorisation à des données réservées ou les diffuser peut constituer le délit de découverte et de révélation de secrets (articles 197 et suivants du Código Penal, le code pénal espagnol).
- Les personnes concernées peuvent demander une indemnisation pour les dommages subis (article 82 du RGPD).
Le délégué à la protection des données (DPO)
Le DPO conseille l'entreprise, contrôle le respect des règles, coopère avec l'AEPD et reçoit les personnes concernées. Il doit agir avec indépendance et ne peut être ni sanctionné ni licencié pour avoir exercé ses fonctions (article 38 du RGPD).
Il est obligatoire dans les autorités et organismes publics, et dans les entités dont l'activité principale consiste à suivre régulièrement et systématiquement des personnes à grande échelle ou à traiter à grande échelle des catégories particulières de données (article 37 du RGPD). L'article 34 de la LOPDGDD énumère en outre d'autres cas, comme les ordres professionnels, les établissements d'enseignement, les compagnies d'assurance ou les fédérations sportives qui traitent des données de mineurs. Ses coordonnées sont publiées et communiquées à l'AEPD : la désignation, la nomination et la cessation de fonctions sont communiquées à l'Agence dans un délai de dix jours. Si votre entreprise a un DPO, vous pouvez vous adresser à lui pour vos questions.
Ce que l'entreprise doit continuer à faire
Ce cours est une formation générale. L'entreprise doit en outre : tenir le registre des activités de traitement (article 30 du RGPD), informer le personnel de la manière dont elle traite ses données, avoir des protocoles internes pour les droits et les violations, donner des instructions écrites adaptées à chaque poste et faciliter le contact avec le DPO, s'il y en a un.
Retenez : respecter la règle est la tâche de toutes les personnes de l'entreprise. Les règles existent pour protéger les gens, vous aussi.