L'autorité espagnole de protection des données a publié une décision de clôture de procédure à l'encontre de la banque OPEN BANK, S.A., concernant un traitement de données sans base légale suite à une usurpation d'identité, estimant que la culpabilité de l'organisme ne pouvait être établie avec certitude.

Faits et contexte

L'affaire trouve son origine dans la plainte d'une personne physique, déposée le 19 mars 2024, suite à l'ouverture frauduleuse d'un compte bancaire à son nom le 8 juillet 2022 par un tiers ayant usurpé son identité.

Motifs de la décision

L'autorité a analysé les mesures de vérification d'identité mises en œuvre par la banque lors de l'ouverture du compte en ligne. Bien que la procédure ait abouti à la création d'un compte pour un usurpateur, l'autorité a finalement classé l'affaire en appliquant le principe du doute raisonnable quant à la culpabilité de la banque.

• Obligation de licéité du traitement (article 6, paragraphe 1 du RGPD) : L'autorité a constaté qu'un compte bancaire avait été ouvert sur la base d'une demande frauduleuse, impliquant un traitement des données personnelles de la plaignante sans base légale valide. Cependant, l'analyse s'est portée sur la responsabilité subjective de la banque. Celle-ci a démontré avoir suivi sa procédure d'identification à distance, conforme à la réglementation sur la prévention du blanchiment de capitaux, en vérifiant la copie de la pièce d'identité fournie, en confirmant la titularité d'un autre compte bancaire au nom de la plaignante via un service interbancaire, et en utilisant un code à usage unique envoyé par message texte pour la signature électronique. Bien que le numéro de téléphone utilisé appartenait à un tiers, l'autorité a estimé que les mesures prises par la banque créaient un doute raisonnable sur l'existence d'une négligence fautive. En application du principe *in dubio pro reo* (le doute profite à l'accusé), issu du droit administratif répressif espagnol, l'autorité a conclu qu'il n'y avait pas lieu de sanctionner, faute de pouvoir établir avec certitude l'élément de culpabilité.

Décision de l'autorité

En conséquence, l'autorité a décidé de classer la procédure engagée contre OPEN BANK, S.A.

Enseignements

Cette décision rappelle que :

• La démonstration d'une violation objective du RGPD ne suffit pas à elle seule pour entraîner une sanction ; l'autorité de contrôle doit également établir l'élément subjectif de la culpabilité (intention ou négligence) du responsable du traitement.
• Le respect des procédures d'identification prévues par d'autres réglementations sectorielles, comme la lutte contre le blanchiment de capitaux, peut constituer un élément déterminant pour écarter la culpabilité d'un organisme en cas d'usurpation d'identité, même si ces mesures se révèlent inefficaces.
• En cas de doute raisonnable sur le degré de diligence d'un responsable du traitement face à une fraude sophistiquée, l'autorité peut appliquer le principe *in dubio pro reo* et s'abstenir de prononcer une sanction.