L'autorité espagnole de protection des données a archivé une procédure de sanction contre une banque concernant l'inscription d'un client dans un fichier d'incidents de paiement, estimant que la banque avait respecté l'obligation d'information préalable et que la dette était exigible au moment de l'inscription, rendant le traitement licite.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision d'archivage d'une procédure de sanction à l'encontre de BANCO SANTANDER, S.A., concernant une inscription dans un système d'information sur le crédit.

L'affaire trouve son origine dans la plainte d'une personne physique, déposée les 12 et 28 août 2023, contestant son inscription le 5 février 2023 dans le fichier d'incidents de paiement BADEXCUG pour une dette liée à un prêt hypothécaire déclaré échu par la banque le 21 décembre 2021.

Motifs de la décision

L'autorité a examiné la licéité du traitement des données du plaignant, qui consistait en son inscription dans le fichier d'incidents de paiement. Après avoir initialement archivé la plainte puis rouvert la procédure sur recours du plaignant, l'autorité a finalement conclu à l'absence de manquement.

• Absence de manquement à l'obligation de disposer d'une base juridique pour le traitement (article 6, paragraphe 1 du RGPD) : L'autorité a estimé que l'inscription des données du plaignant dans le fichier BADEXCUG était licite. Elle a constaté que la banque avait apporté la preuve d'un avertissement de paiement envoyé le 31 janvier 2020, informant le plaignant de la possibilité d'inclure ses données dans des systèmes d'information sur le crédit en cas de non-paiement. L'autorité a considéré que la dette était certaine, liquide et exigible au moment de l'inscription, le 5 février 2023. Les démarches ultérieures du plaignant, notamment une offre de paiement le 1er février 2023 et une consignation judiciaire effectuée le 24 avril 2023, n'ont pas été jugées suffisantes pour remettre en cause la licéité du traitement au moment où il a été réalisé.

Décision de l'autorité

En conséquence, l'autorité a décidé d'archiver la procédure de sanction engagée à l'encontre de BANCO SANTANDER, S.A.

Enseignements

Cette décision rappelle que :

• L'envoi d'un avertissement préalable informant le débiteur de la possibilité d'une inscription dans un système d'information sur le crédit en cas de non-paiement est une condition essentielle pour établir la licéité d'un tel traitement.
• La licéité de l'inscription d'une dette dans un fichier d'incidents de paiement s'apprécie au moment de l'inscription ; des démarches ultérieures du débiteur, telles qu'une offre de paiement ou une consignation judiciaire, ne remettent pas nécessairement en cause rétroactivement le bien-fondé du traitement initial si la dette était alors exigible.
• La communication de données à un prestataire agissant en tant que sous-traitant pour la gestion du recouvrement ne constitue pas une cession de données à un tiers responsable de traitement, mais un traitement pour le compte du responsable initial.