L'autorité espagnole de protection des données a classé une procédure de sanction pour violation de la confidentialité, estimant que la preuve de la divulgation non autorisée de documents par le responsable du traitement n'était pas rapportée. En l'absence de certitude sur l'origine de la fuite, l'autorité a appliqué le principe selon lequel le doute profite à l'accusé.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision de clôture de procédure à l'encontre de CAIXABANK, S.A. pour une violation alléguée du principe de confidentialité.

L'affaire trouve son origine dans la plainte d'une personne qui reprochait à la banque d'avoir communiqué à un tiers des certificats bancaires qu'elle avait signés, contenant sa signature et son numéro de pièce d'identité, dans le cadre d'une succession.

Motifs de la décision

• Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : La plaignante soutenait que la banque avait divulgué à un tiers les copies de certificats de position bancaire qu'elle avait signées et qui étaient restées sous la garde de l'établissement. Bien que la plaignante ait effectivement reçu par courriel, de la part de l'avocat d'un autre héritier, des photographies de ces documents signés, l'autorité a estimé qu'il n'existait aucune preuve permettant d'attribuer avec certitude cette fuite à la banque. L'autorité a relevé que les documents auraient pu être obtenus par d'autres moyens et qu'il subsistait des doutes raisonnables sur la responsabilité de la banque. En application du principe selon lequel le doute profite à l'accusé, l'autorité a conclu que la violation ne pouvait être établie.

Décision de l'autorité

En conséquence, l'autorité a prononcé la clôture de la procédure de sanction engagée contre CAIXABANK, S.A.

Enseignements

Cette décision rappelle que :

• La charge de la preuve d'une violation de la confidentialité incombe à l'autorité, et en l'absence de certitude factuelle sur l'origine d'une divulgation, le principe du doute profitant au responsable du traitement peut conduire à une clôture de la procédure.
• Une simple allégation de divulgation non autorisée, même étayée par des éléments circonstanciels, peut être jugée insuffisante si des doutes raisonnables subsistent quant à la responsabilité directe du responsable du traitement.
• Pour qu'une sanction soit prononcée, il est nécessaire d'établir un lien de causalité direct et prouvé entre une action ou une omission du responsable du traitement et la violation de données constatée.