L'autorité italienne de protection des données sanctionne Experian pour avoir fourni des réponses incomplètes aux demandes d'accès concernant son système de notation de crédit, en omettant de communiquer les scores attribués et leur logique de calcul, et pour des manquements aux principes de minimisation et de protection des données dès la conception.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de Experian Italia S.p.A. (comprenant le prononcé d'une amende de 120 000 €) pour des manquements en lien avec la transparence, le droit d'accès, la minimisation des données et la protection des données dès la conception dans le cadre de ses activités de notation de crédit.

L'affaire trouve son origine dans plusieurs plaintes de personnes s'étant vu refuser la fourniture d'énergie sur la base d'un profil de risque négatif calculé par Experian, alors que cette dernière leur avait indiqué ne détenir aucune information préjudiciable à leur encontre dans ses systèmes d'informations sur le crédit.

Motifs de la décision

• Obligation de transparence et de respect du droit d'accès (article 5, paragraphe 1, point a), 12 et 15 du RGPD) : L'autorité a constaté que les réponses d'Experian aux demandes d'accès étaient systématiquement incomplètes. La société se limitait à communiquer les données présentes dans son système d'information sur le crédit, omettant de fournir le score de solvabilité ("Score ESX") attribué, ses composantes (y compris celles basées sur l'adresse de résidence) et surtout les "informations utiles concernant la logique sous-jacente" comme l'exige l'article 15, paragraphe 1, point h) du RGPD. S'appuyant sur la jurisprudence de la Cour de Justice de l'Union Européenne (arrêt C-634/21), l'autorité qualifie cette notation de décision automatisée au sens de l'article 22 du RGPD, et sur les lignes directrices 1/2022 du Comité Européen de la Protection des Données, elle rejette l'argument d'une "divulgation stratifiée", qui a en réalité entravé l'exercice des droits des 561 personnes concernées.
• Obligation de minimisation des données et de protection des données dès la conception et par défaut (article 5, paragraphe 1, point c) et 25 du RGPD) : Il a été démontré qu'Experian transmettait à son partenaire technologique des données non nécessaires au calcul du score final, notamment les sous-scores "D4U" et "DG3r". Cette pratique résultait de l'utilisation d'un modèle de transmission de données (tracé XML) conçu pour le secteur bancaire et non adapté au secteur de l'énergie. L'autorité a conclu que la société n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données nécessaires au regard de la finalité soient traitées, en violation des principes de protection des données dès la conception et par défaut, ainsi que du principe de minimisation.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 120 000 € à Experian Italia S.p.A.

En outre, l'autorité a ordonné à la société de mettre ses traitements en conformité dans un délai de six mois, notamment en révisant ses modèles et procédures de réponse aux demandes d'accès pour garantir leur complétude, en instaurant une procédure de rectification des scores et en limitant les données transmises à ses partenaires au strict nécessaire.

Enseignements

Cette décision confirme / précise / rappelle que :

• Le calcul d'un score de solvabilité constitue un "processus décisionnel automatisé" au sens de l'article 22 du RGPD dès lors qu'il influence de manière décisive la décision d'un tiers de contracter ou non avec la personne concernée.
• Le droit d'accès concernant une décision de notation de crédit implique la communication non seulement des données d'entrée, mais aussi du score final, de ses composantes et d'une explication intelligible de la logique de calcul, conformément à l'article 15, paragraphe 1, point h) du RGPD.
• L'approche de la "divulgation stratifiée" en réponse à une demande d'accès ne peut justifier de fournir une réponse initialement incomplète et ne se conçoit que si elle apporte une réelle valeur ajoutée à la personne concernée pour comprendre une grande quantité de données, sans lui imposer de démarches supplémentaires.
• Les formats d'échange de données entre partenaires doivent être spécifiquement conçus pour chaque finalité de traitement afin d'éviter la transmission de données superflues, en application directe du principe de protection des données dès la conception.