Mise en demeure APDP : les leçons

Le 10 septembre 2026, le Président de l'Autorité de Protection des Données Personnelles (APDP) a publié une mise en demeure publique à l'encontre de l'International School of Monaco. L'établissement dispose de 15 jours à compter de la réception pour communiquer les données personnelles qu'il n'a pas fournies. La clôture de la mise en demeure sera elle aussi rendue publique, et la décision sera anonymisée six mois après sa publication.

Le détail de l'affaire compte moins que le signal envoyé. La loi n° 1.565 du 3 décembre 2024 a donné à l'APDP le pouvoir de nommer les organismes défaillants, et elle vient de l'utiliser. Le déclencheur n'est ni une fuite de données, ni un serveur piraté, ni une campagne marketing douteuse. C'est quelque chose de bien plus banal : une demande de droit d'accès traitée en retard, partiellement, et sans les mentions obligatoires. Si votre entreprise serait incapable de produire une réponse complète à ce type de demande en un mois, cette décision vous concerne directement.

Les faits, en résumé

Selon la décision publiée, un parent a adressé par courriel, le 14 avril 2026, une demande au délégué à la protection des données de l'école : dossier administratif de son enfant, données de santé, courriels mentionnant l'enfant et sa famille, ainsi que les informations habituelles sur les finalités, les durées de conservation et les destinataires. L'école a répondu le 13 mai avec certains documents et informations, mais a indiqué au parent que seuls les courriels qu'il avait lui-même envoyés — et ne mentionnant aucun tiers — pouvaient lui être remis. Aucune mention de la possibilité de saisir l'APDP.

Le parent a déposé plainte auprès de l'APDP le 22 mai. L'Autorité a écrit à l'école en juillet puis en août pour rappeler les règles. Début septembre, l'établissement indiquait encore que des vérifications étaient « en cours » et que la fin de la période estivale faciliterait une réponse. L'APDP a constaté des manquements à trois articles de la loi 1.565 — l'article 10 (délais), l'article 12 (contenu du droit d'accès) et l'article 22 (responsabilisation) — et a assorti la mise en demeure d'une mesure de publicité « compte tenu de l'importance des manquements et de l'inaction du responsable du traitement malgré les interventions de l'Autorité ».

Cinq règles désormais posées noir sur blanc

La décision se lit comme une check-list. Voici ce qu'elle établit pour tout organisme traitant des données personnelles à Monaco :

1. Le compteur démarre à la réception du courriel. Une demande envoyée par e-mail est réputée reçue à la date de réception du message — pas au moment où quelqu'un la lit, l'enregistre ou la transfère. L'école soutenait l'avoir reçue neuf jours plus tard ; l'APDP n'a pas suivi.
2. Un mois, c'est un mois. Le responsable du traitement doit répondre par écrit dans le mois. Ce délai peut être allongé de deux mois pour une demande complexe ou des demandes multiples, mais la personne doit en être informée, de manière motivée, dans ce premier mois. Un allongement évoqué uniquement dans les courriers au régulateur ne compte pas.
3. « Beaucoup de travail » n'est pas « complexe ». L'APDP le dit sans détour : le simple fait qu'une réponse exige un effort important ne rend pas la demande complexe au sens de la loi.
4. Les courriels sont des données personnelles. Un refus de principe de communiquer des e-mails n'est pas admissible. Les courriels dont le demandeur est expéditeur ou destinataire doivent être transmis, quitte à masquer les noms des tiers. Ceux qui le mentionnent seulement appellent une analyse au cas par cas des droits des tiers, avec masquage des identités.
5. La réponse a un contenu obligatoire. L'article 12 énumère ce qui doit figurer : finalités, catégories de données, destinataires, durées de conservation, source des données non collectées auprès de la personne, existence d'un transfert vers un pays sans protection adéquate, droits de rectification et d'effacement, et droit d'introduire une réclamation auprès de l'APDP. Omettre un élément constitue en soi un manquement.

Le point qui doit vraiment vous inquiéter : la responsabilisation

Le passage le plus inconfortable de la décision concerne l'article 22, le principe de responsabilisation. Pour l'APDP, un responsable du traitement doit disposer de procédures lui permettant de répondre dans les délais légaux « peu importe le moment de l'année ou la charge de travail ». Les vacances d'été, les absences et un DPD débordé ne sont pas des arguments.

L'Autorité a également relevé des incohérences entre ce que l'organisme lui a déclaré et ce qu'il avait réellement écrit au demandeur. Lorsqu'elle instruit une plainte relative à l'exercice d'un droit, l'APDP exige la communication de l'intégralité des échanges entre le plaignant et le responsable du traitement. Tout ce que vous affirmez avoir fait doit s'y retrouver.

C'est précisément là que la plupart des PME monégasques sont exposées. Elles ont une politique de confidentialité et un registre des traitements, souvent produits dans l'urgence fin 2025. Ce qui leur manque, c'est un processus reproductible pour le jour où un client, un salarié, un ancien salarié ou un parent écrit pour demander tout ce que vous détenez à son sujet.

À quoi ressemble un processus conforme

Pas besoin d'un service juridique. Il vous faut un mode opératoire documenté que n'importe qui dans l'entreprise peut suivre :

• Un canal de réception visible. Une adresse e-mail dédiée ou un formulaire sur votre site, mentionné dans votre politique de confidentialité, pour que les demandes ne se perdent pas dans une boîte partagée. C'est l'un des éléments que nous intégrons à chaque site, avec les bases d'une conformité APDP.
• Un enregistrement le jour même. Date de réception, vérification d'identité effectuée, échéance. Inscrivez la date à un mois dans un agenda partagé.
• Une cartographie des données réellement exploitable. Sachez où se trouvent les données personnelles : formulaires du site, CRM et plateformes d'e-mailing, logiciel RH, outils de réservation, messageries des collaborateurs. Ce que vous ne trouvez pas, vous ne pouvez pas le communiquer.
• Un modèle de réponse construit sur l'article 12. Chaque mention de la liste, à chaque fois, y compris la phrase sur le droit de saisir l'APDP.
• Une procédure de recherche et d'anonymisation des courriels. Décidez à l'avance qui effectue la recherche, comment les identités des tiers sont masquées et comment les résultats sont transmis de manière sécurisée.
• Un modèle de notification d'allongement. Si une demande est réellement complexe, envoyez une information motivée avant le trentième jour — pas une promesse vague.
• Une suppléance. Désignez un remplaçant pour le DPD ou la personne en charge, et testez le processus une fois par an.

Des systèmes bien conçus rendent tout cela beaucoup plus simple. Un site et un CRM modernes, avec une fiche client unique et des fonctions d'export, transforment deux semaines de panique en une après-midi de travail.

Ce que vous risquez en l'ignorant

La mise en demeure publique est la mesure correctrice, pas la sanction. Si elle reste sans effet, la formation restreinte de l'APDP peut prononcer des injonctions sous astreinte, des limitations de traitement et des amendes administratives pouvant atteindre, pour les catégories de manquements les plus graves, plusieurs millions d'euros ou un pourcentage du chiffre d'affaires mondial. Les seuils exacts et la procédure sont à confirmer auprès de l'APDP ou d'un conseil qualifié — mais la direction est claire.

Deux rappels de contexte. Monaco n'est pas un État membre de l'Union européenne et le RGPD ne s'y applique pas par défaut ; la loi 1.565 est le cadre propre à la Principauté, bâti sur des standards comparables et appliqué par l'APDP, qui a succédé à la CCIN. Et cette décision montre que le contrôle inclut désormais une exposition réputationnelle : le nom de l'organisme figure aujourd'hui sur le site du régulateur.

Si vous voulez une vision claire de l'endroit où se trouvent les données personnelles dans votre site, votre CRM et vos messageries — et un processus de traitement des demandes que votre équipe peut dérouler sans vous — contactez-nous. Nous concevons et maintenons les systèmes qui hébergent ces données, et nous travaillons avec des conseils juridiques pour les aspects de droit.