La qualification juridique des acteurs et la transparence de l'information sont au cœur des relations complexes entre intermédiaires et établissements financiers, où une erreur d'analyse des rôles peut entraîner une violation des principes fondamentaux du RGPD.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a publié une décision constatant des manquements à l'encontre de Poste Italiane S.p.A. pour des violations liées à la qualification des rôles de responsable du traitement et de sous-traitant, ainsi qu'au manque de transparence dans le cadre de services de financement.

L'affaire trouve son origine dans la plainte d'une employée de Poste Italiane S.p.A. (Poste) concernant la divulgation de ses données financières par Deutsche Bank sur une plateforme interne, suite au refus d'une demande de prêt effectuée via un portail dédié aux employés.

Motifs de la décision

L'autorité a retenu plusieurs manquements à l'encontre de Poste Italiane S.p.A. :

• Obligation de transparence et d'information (article 5, paragraphe 1, point a) et article 13 du RGPD) : L'autorité a constaté que l'information fournie aux demandeurs de prêt était trop synthétique et générale. Poste a justifié cette approche par la volonté d'éviter une "fatigue informationnelle" ("privacy fatigue") et de privilégier l'efficience (lecture rapide) sur l'efficacité (détail complet), invoquant son pouvoir d'appréciation au titre du principe de responsabilité. L'autorité a rejeté cet argument, rappelant que le principe de transparence, tel qu'énoncé au considérant 60 du RGPD et dans les lignes directrices sur la transparence du Groupe de travail Article 29, exige de fournir des informations concrètes et spécifiques au contexte pour garantir un traitement loyal. Les exigences de concision et de complétude ne sont pas alternatives mais cumulatives ; le responsable du traitement ne peut en privilégier une au détriment de l'autre.
• Obligation de définir correctement les rôles des acteurs (article 28 du RGPD) : L'enquête a révélé une qualification incorrecte et confuse des rôles entre Poste et Deutsche Bank. Selon leur accord, la banque agissait comme sous-traitant de Poste pour l'évaluation de la demande de prêt, tandis que Poste agissait comme sous-traitant de la banque pour la communication du résultat. L'autorité a considéré cette répartition comme le fruit d'une analyse juridique erronée. Poste, en tant qu'intermédiaire de crédit, et la banque, en tant que prêteur, déterminent chacun des finalités et moyens propres, ce qui aurait dû conduire à une qualification plus rigoureuse, potentiellement de responsables conjoints du traitement pour certaines activités. L'argument de l'erreur commise de bonne foi dans un contexte d'incertitude juridique post-RGPD a été écarté, l'autorité soulignant la nécessité d'une analyse correcte des rôles pour garantir la protection des données.

Décision de l'autorité

En conséquence des manquements constatés, l'autorité a prononcé une amende de 48 000 € à l'encontre de Poste Italiane S.p.A.

Enseignements

Cette décision rappelle que :

• La concision d'une politique d'information ne doit jamais se faire au détriment de sa complétude et de son efficacité. Le responsable du traitement doit trouver un équilibre pour fournir une information à la fois intelligible et exhaustive, conformément au principe de transparence.
• Dans les partenariats complexes impliquant des flux de données, une analyse juridique rigoureuse des rôles de chaque partie (responsable du traitement, sous-traitant, responsable conjoint) est impérative pour chaque finalité de traitement. Une qualification erronée constitue une violation fondamentale qui affecte l'ensemble de la chaîne de conformité.
• Le principe de responsabilité ("accountability") ne confère pas au responsable du traitement une liberté d'appréciation lui permettant de déroger aux exigences claires du RGPD, mais l'oblige au contraire à documenter et justifier la manière dont il respecte scrupuleusement ces exigences.