L’autorité espagnole de protection des données (AEPD[1]) a rappelé à l’ordre la société GOKOAN EDUCATION, le 16 juin 2020, pour avoir exigé, sans raison valable, une copie de la carte d’identité à un client qui souhaitait exercer ses droits, en contradiction avec le RGPD[2].

Un client qui avait souscrit à la version d’essai gratuite de la plateforme d’e-learning de la société GOKOAN a demandé à la société de supprimer ses données à caractère personnel. Sa demande n’a cependant pas été satisfaite, car la société a répondu qu’il était « absolument indispensable que la demande soit accompagnée de votre pièce d’identité » et que seule l’opposition aux campagnes publicitaires était possible en l’absence d’un justificatif d’identité.

La Commission espagnole a rappelé à la société qu’elle était tenue de faciliter l’exercice des droits des personnes[3] et que des « informations supplémentaires », comme un justificatif d’identité, pouvaient être demandées uniquement si elle a « des doutes raisonnables »[4] sur l’identité de la personne.

La Commission a cependant considéré que la société ne pouvait pas prétendre avoir un doute sur l’identité de la personne, si la société n’avait pas ce même doute au moment de son inscription. Étant donné qu’aucun justificatif d’identité n’était demandé pour s’inscrire sur la plateforme de GOKOAN, la société ne pouvait donc pas conditionner la suppression des données des utilisateurs à la réception d’un justificatif d’identité.

La Commission a demandé à la société de satisfaire la demande de la personne et de supprimer ses données sous dix jours.

Lire :

Notes et références

  1. AEPD : Agencia Española de Protección de Datos (aepd.es).
  2. RGPD : Règlement Général sur la Protection des Données (Règlement (UE) 2016/679).
  3. Le RGPD demande aux responsables de traitement de « facilite[r] l’exercice des droits » des personnes (source : RGPD, article 12-2).
  4. Le RGPD permet à un responsable de traitement de demander « des informations supplémentaires » uniquement s’il a des « doutes raisonnables » sur l’identité de la personne (source : RGPD, article 12-6). Voir « Peut-on demander un justificatif d’identité en réponse à une demande d’exercice de droits RGPD ? ».