L'autorité espagnole de protection des données a archivé une procédure initiée contre un établissement de crédit pour une violation présumée de la confidentialité, après que ce dernier a démontré que l'envoi d'informations contractuelles à une adresse électronique erronée résultait d'une modification effectuée par le plaignant lui-même dans son espace client.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision d'archivage d'une procédure à l'encontre de COFIDIS S.A., SUCURSAL EN ESPAÑA, concernant un manquement présumé au principe de confidentialité des données personnelles.

L'affaire trouve son origine dans la plainte d'une personne physique reprochant à l'organisme de crédit d'avoir envoyé, le 24 février 2024, des informations contractuelles à l'adresse électronique de sa mère, avec laquelle l'organisme n'entretenait aucune relation contractuelle.

Motifs de la décision

• Obligation de garantir l'intégrité et la confidentialité des données (article 5, paragraphe 1, point f) du RGPD) : L'autorité a estimé qu'aucune violation de ce principe n'était établie. En effet, bien que des informations contractuelles aient été envoyées à une adresse électronique tierce, l'organisme a prouvé, par la production de journaux informatiques et de captures d'écran, que cette adresse avait été renseignée par le plaignant lui-même dans son espace personnel le 19 décembre 2023, en remplacement de son ancienne adresse. Appliquant les principes de présomption d'innocence et *in dubio pro reo*, applicables en droit administratif des sanctions, l'autorité a conclu qu'il n'était pas possible de retenir la responsabilité du responsable du traitement, les éléments du dossier ne permettant pas d'établir avec certitude que l'adresse n'avait pas été fournie par le plaignant.

Décision de l'autorité

En conséquence, l'autorité a décidé d'archiver la procédure de sanction engagée à l'encontre de COFIDIS S.A., SUCURSAL EN ESPAÑA.

Enseignements

Cette décision rappelle que :

• La traçabilité des actions réalisées par les utilisateurs dans leurs espaces personnels (telles que la modification des données de contact) est un élément de preuve essentiel pour se défendre contre une accusation de violation de la confidentialité.
• Dans le cadre d'une procédure de sanction, le principe de la présomption d'innocence s'applique, et la charge de la preuve de l'infraction incombe à l'autorité de contrôle.
• La mise en place de notifications automatiques informant l'utilisateur de toute modification de ses informations personnelles critiques, comme son adresse électronique, constitue une mesure de sécurité pertinente et un élément probant en cas de litige.