L'autorité italienne de protection des données a sanctionné un fournisseur d'énergie pour l'utilisation illicite de données de solvabilité à des fins d'amélioration de ses modèles d'évaluation et pour des manquements en matière de transparence et de droits des personnes concernées.

Faits et contexte

L'autorité italienne de protection des données (Garant pour la protection des données personnelles - GPDP) a aujourd'hui publié une décision de sanction à l'encontre de la société EstEnergy S.p.A. (comprenant le prononcé d'une amende de 1 400 000 €) pour des manquements liés à son système d'évaluation de la solvabilité des clients potentiels, notamment l'utilisation de ces données à des fins incompatibles et le non-respect des droits des personnes.

La procédure a été initiée suite à plusieurs plaintes de personnes s'étant vu refuser la fourniture d'énergie sur la base d'un score de risque négatif, alors même que les sociétés de renseignements commerciaux consultées leur avaient indiqué ne détenir aucune information négative à leur sujet.

Motifs de la décision

L'autorité a retenu plusieurs violations du RGPD à l'encontre de la société, qui utilisait un système d'évaluation du crédit reposant sur une évaluation interne (recherche d'impayés au sein du groupe) et une évaluation externe (consultation de systèmes d'informations de crédit et de renseignements commerciaux).

• Obligation de licéité, loyauté et transparence (article 5, paragraphe 1, point a) du RGPD) et d'information (articles 13 et 14 du RGPD) : Le traitement réalisé dans le cadre de l'évaluation interne était illicite. EstEnergy partageait des données sur les impayés de ses clients avec une autre société du groupe, Hera Comm S.p.A., sans en avoir correctement informé les personnes concernées. L'information fournie se contentait d'une mention générique sur la communication de données à des sociétés du groupe, ce qui ne permettait pas aux personnes de comprendre que leurs éventuels impayés seraient partagés et utilisés pour évaluer leur solvabilité pour de futurs contrats. Ce manque de transparence a rendu le traitement déloyal et illicite.
• Obligation de limitation des finalités (article 5, paragraphe 1, point b) du RGPD) et d'exactitude (article 5, paragraphe 1, point d) du RGPD) : La société utilisait les données collectées pour l'évaluation de la solvabilité (scores, sous-scores, informations de crédit) pour une finalité secondaire et incompatible : l'amélioration de son système d'évaluation du risque pour l'ensemble du groupe. L'autorité a jugé que les données obtenues auprès de systèmes d'informations de crédit (comme Experian) et de fournisseurs de renseignements commerciaux (comme Cerved), dont le traitement est encadré par des codes de conduite spécifiques, ne peuvent être utilisées que pour la finalité initiale et ponctuelle d'évaluation d'une demande de contrat. Leur conservation et leur réutilisation pour affiner des modèles statistiques constituent une violation du principe de limitation des finalités. De plus, cette conservation prolongée crée un risque de traitement de données non actualisées, en violation du principe d'exactitude.
• Obligations en matière d'exercice des droits (article 12 et 15 du RGPD) : Les réponses fournies aux personnes exerçant leur droit d'accès étaient inadéquates et incomplètes. La société se limitait à indiquer qu'un profil de risque avait été détecté, sans communiquer le score attribué, les sous-scores le composant, ni les informations sur la logique utilisée pour le calcul, invitant les personnes à contacter directement les fournisseurs de données externes. L'autorité rappelle, en citant le considérant 63 du RGPD et la jurisprudence de la Cour de Justice de l'Union Européenne (arrêt C-203/22), que le responsable du traitement doit fournir un accès à toutes les données personnelles qu'il détient et des informations significatives sur la logique utilisée, afin de permettre à la personne concernée de vérifier la licéité et l'exactitude du traitement.
• Obligation de limitation de la conservation (article 5, paragraphe 1, point e) du RGPD) : EstEnergy ne disposait pas de durée de conservation spécifique pour les données collectées dans le cadre de l'évaluation de la solvabilité. L'application d'un délai général de dix ans, prévu pour les documents comptables, a été jugée non conforme au principe de limitation de la conservation, car elle n'était pas justifiée par la finalité du traitement, à savoir une évaluation précontractuelle.
• Obligations relatives au sous-traitant (article 28 du RGPD) : Le contrat de sous-traitance avec la société mère, Hera S.p.A., qui réalisait l'évaluation interne, était incomplet. Il n'incluait pas d'instructions claires et spécifiques concernant la vérification des impayés auprès d'autres sociétés du groupe, ce qui constitue une violation des obligations du responsable du traitement dans le cadre de ses relations avec ses sous-traitants.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 1 400 000 € à EstEnergy S.p.A.

En outre, l'autorité a ordonné à la société de définir un nouveau modèle de réponse aux demandes d'accès, de l'appliquer rétroactivement aux plaignants, et d'adopter une procédure garantissant l'exercice du droit de rectification ainsi que le droit d'obtenir une intervention humaine pour contester les décisions automatisées.

Enseignements

Cette décision rappelle que :

• Le partage de données relatives aux impayés entre différentes entités juridiques d'un même groupe doit reposer sur une base juridique solide, telle qu'un accord de responsabilité conjointe, et faire l'objet d'une information spécifique et transparente auprès des personnes concernées.
• En cas de décision automatisée, le droit d'accès implique de fournir à la personne non seulement la décision finale, mais aussi l'ensemble des données et scores intermédiaires utilisés, ainsi qu'une explication intelligible de la logique de calcul.
• Les données obtenues auprès de systèmes d'informations de crédit ou de fournisseurs de renseignements commerciaux pour évaluer une demande spécifique ne peuvent être réutilisées pour des finalités incompatibles, comme l'entraînement ou l'amélioration des modèles de notation internes.
• La durée de conservation des données collectées pour une évaluation précontractuelle doit être définie spécifiquement en fonction de cette finalité et ne peut être alignée sur des durées légales plus longues prévues pour d'autres types de documents (par exemple, comptables).