[Brèves] RGPD : deux pratiques passées au crible par la CJUE

► Le « scoring », doit être considéré comme une « décision individuelle automatisée » en principe interdite par le RGPD, pour autant que les utilisateurs, tels que les banques, lui accordent un rôle déterminant dans le cadre de l’octroi de crédits ;

La conservation d’informations relatives à l’octroi d’une libération de reliquat de dette par des sociétés fournissant des informations commerciales plus longtemps que le registre public d’insolvabilité est contraire au RGPD.

Faits et procédure. Plusieurs citoyens contestent devant un tribunal allemand le refus du commissaire à la protection des données compétent d’agir à l’encontre de certaines activités d’une société privée fournissant des informations commerciales dont les clients sont notamment des banques. Ils s’opposent concrètement au « scoring » (aff. C-634/21) ainsi qu’à la conservation d’informations relatives à l’octroi d’une libération de reliquat de dette reprises de registres publics (aff. jointes C-26/22 et C-64/22). Le « scoring » est une méthode statistique mathématique permettant d’établir une prévision quant à la probabilité d’un comportement futur, comme le remboursement d’un crédit. Les informations relatives à l’octroi d’une libération de reliquat de dette sont conservées dans le registre public d’insolvabilité allemand pendant six mois, alors qu’un code de conduite des sociétés allemandes fournissant des informations commerciales prévoit, pour leurs propres bases de données, une durée de conservation de trois ans.

Le tribunal administratif demande alors à CJUE de préciser la compatibilité de ces deux mesures avec le RGPD (Règlement n° 2016/679 du 27 avril 2016 N° Lexbase : L0189K8I).

Décision. S’agissant du « scoring », la Cour juge qu‘il doit être considéré comme une « décision individuelle automatisée » en principe interdite par le RGPD, pour autant que les clients de la société commerciale, tels que des banques, lui accordent un rôle déterminant dans le cadre de l’octroi de crédits.

Il revient au tribunal national d’évaluer si la loi fédérale allemande relative à la protection des données contient, en conformité avec le RGPD, une exception valable à cette interdiction. Si c’est le cas, il devra encore vérifier si les conditions générales prévues par le RGPD pour le traitement des données sont remplies.

Pour ce qui est des informations relatives à l’octroi d’une libération de reliquat de dette, la Cour juge contraire au RGPD que des agences privées conservent de telles données plus longtemps que le registre public d’insolvabilité. En effet, la libération de reliquat de dette a pour but de permettre à la personne concernée de participer de nouveau à la vie économique et revêt ainsi une importance existentielle pour elle. Or, ces informations sont toujours utilisées comme un facteur négatif lors de l’évaluation de la solvabilité de la personne concernée. En l’occurrence, le législateur allemand a prévu un stockage des données pendant six mois. Il considère donc que, à l’issue des six mois, les droits et les intérêts de la personne concernée prévalent sur ceux du public à disposer de cette information. Dans la mesure où la conservation de données est illicite, comme c’est le cas au-delà des six mois, la personne concernée a droit à ce que ses données soient effacées et l’agence est obligée de les effacer dans les meilleurs délais.

En ce qui concerne la conservation parallèle de telles informations par la société commerciale pendant ces six mois, il appartient au tribunal de mettre en balance les intérêts en cause aux fins d’apprécier sa licéité. S’il devait conclure que la conservation parallèle pendant les six mois est licite, la personne concernée disposera tout de même d’un droit de s’opposer au traitement de ses données et d’un droit à leur effacement, à moins que ne soit démontrée l’existence de motifs légitimes impérieux.

© Reproduction interdite, sauf autorisation écrite préalable