APD – Mme X – 40/2022

Décision

Autorité:

CNIL ou équivalent

Numéro:

40/2022

Nom:

Mme X

Date:

17 mars 2022

Pays:

Belgique

Lien:

Cliquer ici

Contexte

La plaignante a déposé plainte auprès de l’Autorité de protection des données (APD) le 9 novembre 2020, concernant un courrier adressé à la plaignante qui a été détérioré lors de son transit par Y. Comme le veut la procédure, le contenu de l’enveloppe a été transféré dans une enveloppe en plastique transparent qui laissait apparaître les données personnelles de la personne concernée (certificat médical contenant le n° NISS).

Le 30 septembre 2020, l’époux de la plaignante aurait contacté le DPO de Y via le site, et reçu un accusé de réception. Plus d’un mois plus tard, le plaignant n’aurait toujours pas reçu de réponse. Le plaignant souligne le fait que pour s’adresser au DPD de la poste, il faut fournir une copie de sa carte d’identité. En réponse, l'APD a ouvert une enquête.

Apport(s)
Exercice des droits - Interdiction de l'exigence systématique de la carte d'identité - Possibilité de masquer les parties non obligatoires - Admission Extrait(s) pertinent(s)12. La Chambre Contentieuse souligne à cet égard que ce n'est que dans les cas spécifiques où conformément à l'article 5.2 du RGPD, le responsable du traitement est à même de démontrer qu'il ne peut pas identifier cette personne concernée (art. 11.2 du RGPD) et/ou qu'il a des doutes raisonnables quant à l'identité de la personne physique présentant la demande (art. 12.6 du RGPD) qu'il peut réclamer les données supplémentaires nécessaires pour confirmer l'identité de la personne concernée. Ces données supplémentaires peuvent par exemple consister en une copie du recto de la carte d'identité ou d’un autre document prouvant l’identité. Les autres données qui ne sont pas nécessaires à l’identification peuvent avoir été préalablement rendues illisibles par le plaignant. Ces différents éléments concernant l’usage de la carte d’identité sont confirmés par le CEPD dans ses lignes directrices sur le droit d’accès , qui indiquent notamment que « demander des copies de la carte d'identité de leurs clients, ne devrait généralement pas être considérée comme un moyen d'authentification approprié ». Article(s) du RGPD Article 5 – Principes relatifs au traitement Article 15 – Droit d’accès de la personne concernée Article 16 – Droit de rectification Article 17 – Droit à l’effacement («droit à l’oubli») Article 18 – Droit à la limitation du traitement Article 20 – Droit à la portabilité des données Article 21 – Droit d’opposition Fait référence à Autres informations

Apport(s)

Exercice des droits - Interdiction de l'exigence systématique de la carte d'identité - Possibilité de masquer les parties non obligatoires - Admission

Extrait(s) pertinent(s)12. La Chambre Contentieuse souligne à cet égard que ce n'est que dans les cas spécifiques où conformément à l'article 5.2 du RGPD, le responsable du traitement est à même de démontrer qu'il ne peut pas identifier cette personne concernée (art. 11.2 du RGPD) et/ou qu'il a des doutes raisonnables quant à l'identité de la personne physique présentant la demande (art. 12.6 du RGPD) qu'il peut réclamer les données supplémentaires nécessaires pour confirmer l'identité de la personne concernée. Ces données supplémentaires peuvent par exemple consister en une copie du recto de la carte d'identité ou d’un autre document
prouvant l’identité. Les autres données qui ne sont pas nécessaires à l’identification peuvent avoir été préalablement rendues illisibles par le plaignant.

Ces différents éléments concernant l’usage de la carte d’identité sont confirmés par le CEPD dans ses lignes directrices sur le droit d’accès , qui indiquent notamment que « demander des copies de la carte d'identité de leurs clients, ne devrait généralement pas être considérée comme un moyen d'authentification approprié ».
Article(s) du RGPD Article 5 – Principes relatifs au traitement
Article 15 – Droit d’accès de la personne concernée
Article 16 – Droit de rectification
Article 17 – Droit à l’effacement («droit à l’oubli»)
Article 18 – Droit à la limitation du traitement
Article 20 – Droit à la portabilité des données
Article 21 – Droit d’opposition
Fait référence à
Autres informations

Références

Cette décision cite...

Cette décision est citée par...

Signaler une erreur / Faire une suggestion