L’autorité de contrôle luxembourgeoise a sanctionné un responsable du traitement pour n’avoir pas suffisamment bien renseigné son registre des traitements.
I/ Le contrôle aléatoire du registre des traitements
Des agents de l’autorité luxembourgeoise de contrôle ont réalisé un contrôle sur place aléatoire dans les locaux d’un responsable du traitement.
A cette occasion, les agents ont demandé qu’il leur soit fourni le registre des traitements du responsable du traitement, ce qui a été fait.
Au cours de leur enquête, les agents de l’autorité ont constaté des manquements dans le registre des traitements.
II/ Les manquements constatés dans le registre des traitements
Il ressort de l’article 30 du RGPD que :
« 1. Chaque responsable du traitement […] tiennent un registre des activités de traitement effectuées sous leur responsabilité. Ce registre comporte toutes les informations suivantes :
a) le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint du traitement, du représentant du responsable du traitement et du délégué à la protection des données ; […]
c) une description des catégories de personnes concernées et des catégories de données à caractère personnel ; […]
f) dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de donnée ».
En l’espèce, l’autorité de contrôle luxembourgeoise a considéré que les dispositions rappelées ci-dessus n’avaient pas été respectées car :
- D’une part, les fiches de traitement « ne comportaient ni le nom et les coordonnées du responsable du traitement, ni les coordonnées du délégué à la protection des données. Seul le nom du délégué à la protection des données du contrôle figurait dans chaque fiche de traitements » ;
- D’autre part, certaines fiches de traitement indiquaient que des « données relatives à des opinions politiques » et des « donnée relatives à des condamnations pénales et des infractions » étaient traitées, mais sans aucune « description ». Or, selon l’autorité, « il ne suffit pas de mentionner uniquement une liste de catégories génériques sans description » ;
- Enfin, pour certaines catégories de données, aucun délai pour l’effacement n’était prévu ou le délai renseigné était imprécis (le registre indiquait, par exemple, une suppression « dès que possible après la fin de l’emploi »).
Compte tenu de ce qui précède, l’autorité de contrôle a infligé au responsable du traitement une amende de 7 000 €.