Décision du PFPDT contre Cembra Money Bank AG
Par décision du 29 janvier 2025, le PFPDT a clos son enquête contre Cembra Money Bank AG (Cembra). Dans le cadre de la procédure, le PFPDT a examiné les délais légaux pour le traitement des demandes d’accès ainsi que les informations à fournir sur les données personnelles traitées en tant que telles. L’entreprise a été sommée de communiquer toutes les données personnelles traitées en tant que telles aux personnes ayant jusque-là obtenu une réponse standardisée à leur demande d’accès.
Le PFPDT a contacté Cembra suite à une dénonciation, dans le cadre d’une intervention à bas seuil. Dans ce contexte, il a rappelé à l’entreprise le délai légal de 30 jours pour répondre aux demandes d’accès. À cela, Cembra a répondu que le traitement des demandes d’accès avait pris du retard en raison d’un manque de personnel, mais qu’il n’était pas nécessaire de modifier la procédure de renseignement. Quelques mois après ce retour, le PFPDT a reçu une nouvelle dénonciation selon laquelle Cembra ne répondait pas aux demandes d’accès malgré plusieurs tentatives.
Dans le cadre de la procédure d’enquête, le PFPDT a constaté que, de décembre 2023 à septembre 2024, Cembra avait répondu à 9 des 13 demandes d’accès après l’expiration du délai légal de 30 jours. De plus, durant la période mentionnée, les 13 demandes d’accès ont toutes reçu une réponse standardisée.
Au cours de la procédure, Cembra a ultérieurement satisfait à son obligation d’informer les deux dénonciateurs, mais pas les autres requérants.
Tant la décision sur le fond que la décision de publication n’ont été contestées, de sorte qu’elles sont entrées en force à l’expiration du délai de recours de 30 jours.