L’APD allemande inflige une amende colossale à une société immobilière

Le 30 octobre 2019, une société immobilière allemande a été condamnée par l'autorité allemande de protection des données à une amende d'au moins 14,5 millions d'euros : l'amende la plus élevée à ce jour.

La société immobilière en question utilisait un système d'archivage pour sauvegarder toutes sortes d'informations sur les locataires (fiches de paie, relevés bancaires, copies des contrats de travail, etc.) Lors d'une inspection effectuée en 2017, l'autorité allemande de protection des données a constaté que le système ne prévoyait pas la possibilité de supprimer des données personnelles. Pour cette raison, diverses données ont été sauvegardées, certaines pendant des années, sans que leur sauvegarde ne soit autorisé ou même nécessaire.

En 2017 - toujours avant le RGPD - l'autorité a donné un avertissement urgent et elle s'en est tenue là. En mars 2019, cependant, elle est revenue pour constater que la société immobilière n'avait toujours pas pris les mesures nécessaires pour corriger la situation. Bien que l'entreprise ait déjà pris certaines mesures préparatoires, elles n'étaient pas suffisantes, selon l'Autorité, pour se conformer au RGPD. 

Celle-ci a donc infligé une amende de 14,5 millions d'euros à la société immobilière. L'amende était fondée, entre autres, sur le chiffre d'affaires de l'entreprise et sur le fait que la société immobilière avait délibérément mis en place le système d'archivage et que le traitement illicite de données à caractère personnel avait eu lieu sur une aussi longue période. A titre de circonstance atténuante, il a été tenu compte du fait que la société avait déjà pris certaines mesures préparatoires (quoiqu'insuffisantes).

Outre cette sanction structurelle, l'autorité a également infligé plusieurs amendes d'un montant compris entre 6 000 et 17 000 euros dans le cadre de diverses affaires individuelles impliquant les locataires concernés.

La société immobilière allemande a fait appel de la décision de l'Autorité. Pour l'instant, une décision est donc attendue avant que l'amende ne devienne définitive.

Par rapport à l'Allemagne, mais aussi à plusieurs autres pays européens, l'autorité belge de protection des données a été lente à agir. Cela s'explique en partie par le fait que les membres de l'autorité renouvelée ont dû être nommés par le Parlement. Mais peu à peu, l'autorité belge prend également de l'ampleur. Toutefois, en Belgique, il n'est toujours pas question d'infliger des amendes importantes, comme celle infligée à la société immobilière allemande.

Avez-vous des questions à ce sujet ? Contactez Sara Cockx (chef de cellule du département Vie privée et Protection de données) ou Sara Mannaerts (auteur).