L'autorité italienne de protection des données a sanctionné une société d'information commerciale pour avoir fourni des réponses incomplètes aux demandes d'accès des personnes concernées, en omettant de communiquer le score de risque qui leur était attribué ainsi que la logique de son calcul.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a aujourd'hui publié une décision de sanction à l'encontre de Cerved Group S.p.A. (comprenant le prononcé d'une amende de 400 000 €) pour des manquements en lien avec l'exercice du droit d'accès des personnes concernées à leurs données de profilage de risque.

L'affaire trouve son origine dans plusieurs plaintes de personnes s'étant vu refuser la fourniture d'énergie par les sociétés Hera Comm S.p.A. et EstEnergy S.p.A. sur la base d'un profil de risque négatif généré par un système utilisant les données de la société.

Motifs de la décision

L'enquête a révélé que les fournisseurs d'énergie utilisaient un logiciel qui interrogeait les bases de données de Cerved Group S.p.A. pour obtenir un score dénommé "Score de Détail Services Publics" ("Score Retail Utilities"). Ce score, combiné à d'autres informations, déterminait l'octroi ou le refus du contrat. Lorsque les plaignants ont exercé leur droit d'accès auprès de Cerved Group S.p.A., la société a répondu qu'aucune information négative n'était présente dans ses systèmes, sans jamais mentionner l'existence, la valeur ou la composition du score qui avait pourtant été calculé et transmis aux fournisseurs d'énergie. L'autorité a retenu les manquements suivants :

• Obligation de fournir un accès complet aux données et des informations transparentes (articles 12 et 15 du RGPD) : L'autorité a jugé les réponses de la société aux demandes d'accès inadéquates et incomplètes. En s'appuyant sur la jurisprudence de la Cour de Justice de l'Union Européenne (arrêt C-634/21 du 7 décembre 2023), elle a considéré que le calcul d'un score de probabilité de paiement constitue un processus décisionnel automatisé au sens de l'article 22 du RGPD lorsque la décision d'un tiers en dépend de manière décisive. Par conséquent, en vertu de l'article 15, paragraphe 1, point h) du RGPD, les personnes concernées avaient le droit d'obtenir non seulement la confirmation que leurs données étaient traitées, mais aussi des "informations utiles concernant la logique sous-jacente" au score. Or, la société a omis de communiquer le score lui-même, ses composantes (y compris des sous-scores basés sur des données socio-démographiques comme la zone de résidence ou l'âge) et les critères de calcul, privant ainsi les personnes de la possibilité de comprendre le traitement et d'en vérifier l'exactitude. L'autorité a noté que même les modèles de réponse corrigés en cours de procédure restaient incomplets.
• Obligation de traiter les données de manière licite, loyale et transparente (article 5, paragraphe 1, point a) du RGPD) : Le manquement à l'obligation de fournir un accès complet et intelligible constitue une violation du principe de transparence. En ne fournissant pas toutes les informations traitées, la société a empêché les personnes concernées de "connaître et de vérifier la licéité et l'exactitude du traitement", comme l'exige le considérant 63 du RGPD. Cette opacité a eu pour conséquence de priver les individus de la possibilité d'exercer efficacement d'autres droits, comme le droit de rectification ou le droit de contester la décision automatisée.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 400 000 € à Cerved Group S.p.A.

En outre, l'autorité a ordonné à la société de mettre en place, sous six mois, une procédure garantissant le plein exercice du droit de rectification (article 16 du RGPD) pour les données inexactes ou incomplètes relatives au score attribué, notamment lorsque celui-ci repose sur des données socio-démographiques.

Enseignements

Cette décision rappelle que :

• Le calcul d'un score de solvabilité qui influence de manière décisive la décision d'un tiers (par exemple, pour la conclusion d'un contrat) est qualifié de décision automatisée au sens de l'article 22 du RGPD, même si le fournisseur du score n'est pas le décisionnaire final.
• Le droit d'accès (article 15 du RGPD) concernant un traitement de notation (scoring) implique de fournir à la personne concernée non seulement le résultat final (le score), mais aussi ses différentes composantes (sous-scores) et des informations utiles sur la logique de calcul.
• L'explication de la logique sous-jacente à un score doit être suffisamment claire pour permettre à la personne de comprendre comment ses données personnelles ont été utilisées et quel a été le poids des différentes variables dans le résultat final.
• Un responsable du traitement ne peut invoquer des cloisonnements techniques ou organisationnels internes pour justifier une réponse incomplète à une demande d'accès ; il est tenu de fournir l'ensemble des données personnelles qu'il traite concernant la personne.
• Le périmètre d'une enquête peut s'étendre au-delà des plaignants initiaux pour évaluer la conformité globale d'un système, et le nombre de personnes concernées par la violation peut inclure tous les individus soumis au même traitement illicite durant la période examinée.