Décision de mise en demeure en date du 10 septembre 2026 du Président de l'Autorité de Protection des Données Personnelles à l'encontre de l'International School of Monaco.
Mise en demeure publique
Le Président de l’Autorité de Protection des Données Personnelles,
Vu la Constitution du 17 décembre 1962 ;
Vu la Convention du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, et son Protocole additionnel ;
Vu la loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles ;
Vu l’Ordonnance Souveraine n° 11.327 du 10 juillet 2025 portant application de la loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles ;
Vu la plainte n° 20260500093 reçue par l’Autorité le 22 mai 2026 ;
Rappel des faits :
L’International School of Monaco (ISM) est une école privée internationale bilingue fondée en 1994 et située 43, avenue Princesse Grace, 98000 Monaco.
L’attention de l’Autorité de Protection des Données Personnelles (APDP) a été portée sur la réponse incomplète et non-conforme à l’exercice d’un droit d’accès.
Par courriel en date du 14 avril 2026 adressé au Délégué à la Protection des Données (DPD) le demandeur a saisi l’ISM d’une demande de droit d’accès relativement à son fils mineur. Il a été sollicité la communication de plusieurs éléments : le dossier administratif de l’enfant, les données de santé, les courriels mentionnant l’enfant ainsi que sa famille y compris les courriels internes. Par ailleurs la personne concernée souhaitait avoir des précisions sur les finalités du traitement, les durées de conservation ainsi que les destinataires et catégories de destinataires.
Par email en date du 13 mai 2026, le Délégué à la Protection des Données de l’ISM a répondu à la demande en indiquant les finalités poursuivies par le traitement des données personnelles ainsi que les durées de conservation applicables. De plus, il a été transmis un certain nombre de pièces jointes : 3 rapports semestriels de l’enfant, et des captures d’écran de son dossier administratif. S’agissant des courriels le responsable du traitement a indiqué à la personne concernée que le droit d’accès porte uniquement sur les emails envoyés par elle à l’établissement et qui ne comportent aucune donnée personnelle relative à des tiers. Enfin, il était demandé si la transmission des éléments issus de la messagerie pouvait être faite par dossier ZIP.
La personne concernée estimant la réponse de l’ISM incomplète a saisi l’APDP d’une plainte le 22 mai 2026.
Dans le cadre de l’instruction de la plainte l’APDP a envoyé un premier courrier à l’ISM le 17 juillet 2026 en rappelant les dispositions de l’article 12 de la loi n° 1.565, relatives au droit d’accès et en précisant les règles applicables à la communication des courriers électroniques selon si le demandeur est expéditeur/récipiendaire ou seulement mentionné. Enfin, l’Autorité a demandé à l’ISM de vérifier le caractère exhaustif de la réponse du 13 mai 2026 et de communiquer au demandeur dans les plus brefs délais les données personnelles qui seraient manquantes, ainsi que l’ensemble des informations exigées par l’article 12 susmentionné.
L’ISM a répondu à l’APDP, le 29 juillet 2026 en indiquant que la demande d’accès de la personne concernée envoyée le 14 avril par courriel a été réceptionnée le 23 avril. Il est également indiqué que le dossier administratif de l’enfant et des précisions sur les finalités, les catégories de données traitées, les destinataires et les durées de conservation ont été communiquées au demandeur ainsi que les autres éléments énumérés à l’article 12 de la loi n° 1.565 (renvoi à leur politique de protection des données). De plus, l’ISM indiquait dans ce courrier que le demandeur avait été informé que sa demande « constituait une demande complexe exigeant des investigations techniques particulières et conduisant, par conséquent, à l’allongement de deux mois de ce délai » notamment en raison de la durée de scolarisation de l’enfant dans l’établissement d’une part et de l’appréciation éventuelle de toute atteinte aux droits et libertés des tiers d’autre part. Enfin, il a été indiqué à l’Autorité que les éléments seraient communiqués au demandeur dans les meilleurs délais.
Le 6 août 2026, l’Autorité à répondu au Directeur de l’établissement par courrier en indiquant avoir pris connaissance des échanges entre l’ISM et le demandeur du droit d’accès dans le cadre de l’instruction de la réclamation, et que la réponse adressée à ce dernier n’était pas constitutive de l’information motivée prévue au deuxième alinéa de l’article 10 de la loi n° 1.565 pour l’allongement du délai de deux mois. De plus, l’Autorité a indiqué que le simple fait de répondre à une demande nécessiterait un effort important ne la rendait pas pour autant complexe au sens de la loi n° 1.565, susvisée.
En réponse à ce dernier courrier de l’Autorité, le Directeur de l’ISM a transmis un courriel à l’APDP le 4 septembre 2026 en indiquant avoir pris note des observations de l’Autorité. Il a précisé que le dossier faisait l’objet d’un examen « attentif et continu » en collaboration avec le Délégué à la Protection des Données de l’établissement et que les vérifications complémentaires étaient encore en cours. Par ailleurs, il a indiqué que « la période estivale étant achevée, il sera plus aisé de répondre rapidement sur le fond à compter de cette semaine de reprise générale » et que l’établissement ne manquera pas de revenir « une fois les vérifications menées à leur terme » pour « exposer de manière circonstanciée les suites réservées à la demande ».
Motifs de la décision :
• Sur l’absence de réponse au droit d’accès dans les délais prévus
L’Autorité rappelle que le deuxième alinéa de l’article 10 de la loi n° 1.565 dispose que :
« Le responsable du traitement informe par écrit, dans le délai d’un mois à compter de la réception de la demande, la personne concernée des suites données à cette dernière. En cas de demande complexe ou de demandes multiples, ce délai peut être allongé de deux mois. La personne concernée en est informée de manière motivée dans le délai d’un mois à compter de la réception de sa demande. Lorsqu’il ne donne pas suite à la demande, il informe la personne concernée au plus tard dans le même délai d’un mois de la possibilité d’introduire une réclamation auprès de l’autorité de protection ou de former un recours juridictionnel de plein contentieux devant le Tribunal de Première Instance. »
Elle rappelle dès lors que le responsable du traitement doit répondre conformément au deuxième alinéa de l’article 10 dans le délai d’un mois à compter de la réception de la demande. L’APDP précise que dans le cadre d’une demande effectuée par courrier électronique, ladite demande est réputée reçue à la date de réception du courriel.
En l’espèce, la demande ayant été envoyée par courriel le 14 avril 2026 l’ISM devait par conséquent répondre avant le 14 mai 2026.
L’établissement a répondu au demandeur par courrier électronique le 13 mai 2026 en communiquant un certain nombre d’informations sans toutefois transmettre l’intégralité des informations demandées ni même fournir l’ensemble des éléments prévus à l’article 12 de la loi. De plus, l’ISM soutient que cette communication informait de l’allongement du délai en raison de la complexité de la demande. Toutefois, à l’analyse des échanges entre le demandeur et l’ISM l’Autorité n’a relevé aucune mention de cet allongement du délai ni d’une quelconque motivation éventuelle de la « complexité » de la demande ou encore de la nécessité de procéder à des vérifications complémentaires tel que pourtant argumenté par l’établissement dans ses courriers adressés à l’Autorité.
L’Autorité considère, s’agissant de la complexité de la demande, que le simple fait que répondre à une demande nécessite un effort important ne rend pas pour autant la demande complexe. En effet, l’APDP estime qu’il convient de prendre en compte les circonstances propres à l’espèce et l’ensemble des facteurs pouvant être considérés comme pertinents pour apprécier le caractère complexe d’une demande.
Dès lors, l’Autorité considère que le responsable du traitement devait répondre à la demande de la personne concernée avant le 14 mai 2026 ou a minima l’informer de manière motivée de l’allongement du délai de deux mois supplémentaires ce qui aurait porté le délai de réponse maximal au 14 juillet 2026.
Malgré les interventions de l’Autorité pour demander au responsable du traitement de répondre au droit d’accès dans les plus brefs délais, le demandeur reste à ce jour sans communication des informations demandées ce qui constitue un manquement à l’article 10 alinéa 2 de la loi n° 1.565, susvisée.
• Sur le non-respect du droit d’accès des personnes concernées
Le premier alinéa de l’article 12 de la loi n° 1.565 relative à la protection des données personnelles dispose que :
« La personne concernée, justifiant de son identité, a le droit d’obtenir auprès du responsable du traitement, dans le délai d’un mois suivant la réception de la demande, et sous réserve de dispositions législatives spécifiques, confirmation que des données à caractère personnel la concernant sont, ou non, traitées, ainsi que les informations suivantes :
1. les finalités du traitement, les catégories de données à caractère personnel sur lesquelles il porte et les destinataires ou catégories de destinataires auxquels les données sont communiquées ;
2. lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
3. lorsqu’elle fait l’objet d’une décision individuelle automatisée, y compris le profilage, le raisonnement qui sous-tend le traitement ainsi que l’importance et les conséquences prévues pour la personne concernée ;
4. toute information disponible quant à la source des données à caractère personnel non collectées auprès de la personne concernée ;
5. le droit de demander la rectification ou l’effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel, ou le droit de s’opposer à ce traitement ;
6. l’existence d’un transfert vers un pays, un territoire ou une organisation internationale ne bénéficiant pas de la protection adéquate ou ne présentant pas un niveau approprié de protection au regard des dispositions de la présente loi et les garanties appropriées des articles 76, 98 et 99, en ce qui concerne ce transfert ;
7. l’existence du droit d’introduire une réclamation auprès de l’autorité de protection. ».
Le responsable du traitement indique au demandeur relativement à la sollicitation de communication des échanges de courriels électroniques que ce dernier ne peut recevoir que les emails qu’il a envoyés à l’établissement qui ne contiennent pas des données personnelles relatives à des tiers.
À cet égard, l’Autorité rappelle que même s’il convient d’apprécier si la personne ayant exercé son droit d’accès est destinataire/expéditeur des messages, ou seulement mentionnée dans les échanges, il ne peut lui être opposé le refus de principe à toute communication de données. Dès lors, l’APDP considère que les emails dans lesquels la personne est expéditeur ou récipiendaire mentionnant les noms de tiers devaient lui être transmis et le responsable du traitement avait la possibilité, s’il le souhaitait, d’en supprimer les noms/prénoms avant toute transmission au demandeur.
Par ailleurs, s’agissant des emails mentionnant la personne concernée sans que celle‑ci soit expéditeur ou destinataire, l’Autorité considère que le responsable du traitement doit procéder à une étude du contenu des courriels demandés et apprécier la portée de l’atteinte aux droits des tiers que représenterait la communication des données personnelles qui y sont contenues, notamment au regard du secret des correspondances et du respect de la vie privée de l’émetteur et des destinataires ou éventuellement au secret des affaires. Sur ce point l’APDP recommande de masquer, dans le contenu de sa réponse au demandeur, l’identité des tiers ou les éléments permettant indirectement de l’identifier.
En outre, l’Autorité a relevé que le responsable du traitement n’a pas communiqué à la personne concernée l’ensemble des informations listées à l’article 12 de la loi n° 1.565. En effet, il n’a notamment fait aucune mention d’une éventuelle possibilité pour le demandeur d’introduire une réclamation auprès de l’APDP.
Ces faits constituent un manquement à l’article 12 de la loi n° 1.565.
• Sur le non-respect principe de responsabilisation
L’Autorité rappelle que le principe de responsabilisation prévu au premier alinéa de l’article 22 de la loi n° 1.565 dispose que :
« Au regard de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement s’assure que le traitement est effectué conformément aux dispositions de la présente loi et est en mesure de le démontrer. ».
Ainsi, l’Autorité rappelle que ce principe de responsabilisation exige que le responsable du traitement soit en mesure de prouver et démontrer qu’il est conforme à la législation relative à la protection des données ce qui comprend notamment la réponse aux droits des personnes concernées.
Sur ce point, le responsable du traitement indique dans son dernier courrier adressé à l’Autorité, le 4 septembre dernier, que « la période estivale étant achevée, il sera plus aisé de répondre rapidement sur le fond à compter de cette semaine de reprise générale ».
À cet égard, l’Autorité considère néanmoins que le responsable du traitement doit mettre en œuvre des procédures lui permettant de répondre dans les délais légaux aux demandes de droits adressées par les personnes concernées. Par conséquent, le responsable du traitement doit pouvoir s’assurer que, peu importe le moment de l’année ou la charge de travail, les délais légaux seront respectés.
De plus, l’Autorité a relevé à plusieurs reprises que le responsable du traitement dans ses échanges avec elle a laissé entendre avoir respecté ses obligations issues de la loi n° 1.565. Cependant, avant tout traitement et enregistrement d’une plainte par ses services, l’APDP exige préalablement des personnes concernées qu’elles exercent directement leurs droits auprès desdits responsables du traitement. Ainsi elle sollicite au moment de l’instruction d’une réclamation relative à un exercice de droit la communication des échanges entre le plaignant et le responsable du traitement.
En l’espèce l’Autorité a reçu et analysé les échanges du 14 avril et 13 mai 2026 entre l’ISM et le demandeur et elle a pu constater tout d’abord la non-conformité de la réponse aux dispositions en vigueur ainsi que les incohérences entre les réponses formulées à l’Autorité et celles adressées à la personne concernée.
En raison de l’absence de réponse dans les délais légaux et de vérifications encore en cours par le responsable du traitement presque plus de 5 mois après la réception de la demande l’ISM ne respecte pas le principe de responsabilisation énoncé à l’article 22 alinéa 1 de la loi n° 1.565.
Décision :
Au regard des éléments ci‑dessus développés :
- Vu les manquements constatés à la loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles, plus particulièrement à ses articles 10, 12 et 22 ;
l’International School of Monaco est mise en demeure de procéder, dans un délai de 15 jours maximum à compter de la réception de la présente décision, à la communication des données personnelles manquantes ainsi que l’ensemble des éléments prévus à l’article 12 de la loi n° 1.565.
Cette mesure correctrice est prononcée sur le fondement du deuxième alinéa de l’article 50 de la loi n° 1.565, susvisée.
Il est décidé que compte tenu de l’importance des manquements et de l’inaction du responsable du traitement sur le dossier malgré les interventions de l’Autorité, cette mise en demeure sera assortie d’une mesure de publicité. La clôture de la mise en demeure fera l’objet de la même mesure, en application du dernier alinéa de l’article 50 de la loi n° 1.565.
La présente décision sera anonymisée dans un délai de 6 mois à compter de sa publication.
Le Président de l’Autorité de Protection des Données Personnelles.