Dans une affaire concernant la communication d'informations financières entre Deutsche Bank et Poste Italiane dans le cadre de demandes de prêts, l'autorité italienne a analysé la complexité des rôles de responsable du traitement et de sous-traitant, ainsi que le manque de transparence de l'information fournie aux personnes concernées.

Faits et contexte

L'autorité de protection des données italienne (Garante per la protezione dei dati personali - GPDP) a publié une décision concernant Deutsche Bank S.p.A. pour des manquements liés à la communication de données dans le cadre de demandes de financement.

L'affaire trouve son origine dans la plainte d'une employée de Poste Italiane S.p.A. suite au refus d'un prêt et à la communication non autorisée de ses données financières (revenu net, engagements financiers en cours) à son employeur via une plateforme partagée.

Motifs de la décision

Sur la base des éléments recueillis, l'autorité a notifié à la banque l'ouverture d'une procédure pour plusieurs violations potentielles :

• Obligation de licéité, loyauté et transparence et d'information des personnes concernées (article 5, paragraphe 1, point a) du RGPD et article 13 du RGPD) : L'autorité a relevé que l'information fournie aux demandeurs de prêt était trompeuse. La notice d'information initiale, relative à la phase de pré-évaluation, affirmait que seule la décision finale serait transmise à Poste Italiane. Or, il s'est avéré que des données détaillées issues des systèmes d'information sur le crédit étaient communiquées à Poste Italiane dans un champ "notes", notamment pour justifier le refus. La défense de la banque, fondée sur l'existence de deux phases de traitement distinctes (pré-évaluation et évaluation du mérite de crédit) avec deux notices d'information, n'a pas suffi à écarter le manque de clarté global du processus pour la personne concernée.
• Obligation de définir les rôles et responsabilités entre responsable de traitement et sous-traitant (article 28 du RGPD) : L'autorité a contesté la qualification juridique des rôles adoptée par la banque et Poste Italiane. Bien qu'agissant en principe comme des responsables de traitement autonomes, les deux sociétés s'étaient mutuellement désignées comme sous-traitants pour des flux de données spécifiques et réciproques. Cette construction contractuelle complexe et ambiguë a rendu difficile l'identification claire des responsabilités respectives et a contribué à une communication de données allant au-delà de ce qui était annoncé à la personne concernée.

Décision de l'autorité

En conséquence, bien que l'autorité ait pris acte de la suppression des données de la plaignante, elle a conclu son instruction en retenant des manquements aux principes de transparence et à la correcte définition des rôles entre les parties et a prononcé une amende de 33 000 euros à leur encontre.

Enseignements

Cette décision rappelle que :

• La qualification des acteurs (responsables de traitement, sous-traitants) doit refléter la réalité des traitements et être clairement formalisée, en particulier dans les partenariats complexes où les flux de données sont réciproques, afin d'éviter toute ambiguïté sur les responsabilités.
• L'information fournie aux personnes concernées doit être complète et transparente sur l'ensemble du processus, y compris sur la nature exacte des données communiquées à des tiers, sans omettre des détails importants sous prétexte d'une organisation du traitement en plusieurs phases.
• L'utilisation de champs de texte libre ("notes") pour communiquer des données personnelles confidentielles à un partenaire constitue une pratique à risque qui peut entraîner des violations du principe de confidentialité et de minimisation des données.