L'autorité espagnole de protection des données (AEPD) a sanctionné une société pour avoir inscrit une personne dans un fichier d'incidents de paiement sans pouvoir justifier de l'existence d'un contrat fondant la dette alléguée.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de DRSMILE IBERIA, S.L. (comprenant le prononcé d'une amende de 7 000 €) pour des manquements en lien avec l'absence de base légale pour l'inscription d'une personne dans un système d'information sur le crédit.

L'affaire trouve son origine dans la plainte d'une personne physique concernant son inscription indue dans le fichier d'incidents de paiement ASNEF à l'initiative de la société, alors que la plaignante niait avoir jamais contracté le traitement d'orthodontie à l'origine de la prétendue dette.

Motifs de la décision

• Obligation de disposer d'une base légale pour le traitement (article 6 du RGPD) : L'autorité a constaté que la société avait demandé l'inscription de la plaignante dans le système d'information sur le crédit ASNEF pour une dette impayée de 1 890 €. L'enquête a révélé qu'aucune documentation ne prouvait l'existence d'une relation contractuelle justifiant cette dette. En l'absence de contrat, la société ne pouvait se prévaloir d'une base légale valide pour ce traitement, violant ainsi l'article 6, paragraphe 1, du RGPD. L'autorité a également noté que même les conditions générales fournies par la société, en plus d'être postérieures aux faits, n'informaient pas sur la possibilité d'une telle inscription en cas d'impayé.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 7 000 € à DRSMILE IBERIA, S.L.

En outre, l'autorité a ordonné à la société de prouver, dans un délai d'un mois, qu'elle a informé ASNEF du caractère inapproprié de l'inscription de la plaignante et demandé sa suppression, sauf si elle peut justifier d'une base légale.

Enseignements

Cette décision rappelle que :

• L'inscription d'une personne dans un fichier d'incidents de paiement requiert une preuve incontestable de l'existence d'une dette certaine, liquide et exigible, fondée sur une relation contractuelle avérée.
• L'absence de toute documentation contractuelle valide prive le responsable du traitement de toute base légale pour les traitements de données liés au recouvrement d'une prétendue créance.
• Conformément au principe de responsabilité pro-active, il incombe au responsable du traitement de documenter et de pouvoir démontrer à tout moment la base légale sur laquelle repose chaque traitement de données.