La communication de données à un système d'information sur le crédit constitue un traitement de données, même si l'inscription n'est pas finalisée ou consultée par des tiers. Si la dette sous-jacente est contestée, ce traitement est illicite.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de RETSINNAL GROUP, S.L.U. (comprenant le prononcé d'une amende de 16 000 €) pour des manquements en lien avec l'inscription illicite de données dans un fichier de solvabilité.

L'affaire trouve son origine dans une plainte déposée le 15 septembre 2024, concernant l'inscription des données du plaignant dans un système d'information sur le crédit pour une dette contestée.

Motifs de la décision

• Obligation de licéité du traitement (article 6, paragraphe 1 du RGPD) : L'autorité a constaté que la société avait communiqué les données personnelles du plaignant à un système d'information sur le crédit (ASNEF) pour une dette de 2 040 €. Or, cette dette faisait l'objet d'une contestation, notamment via une plainte pénale et une procédure d'arbitrage. L'autorité rappelle que, pour être licite, l'inscription dans un tel fichier suppose, en vertu de l'article 20 de la loi organique espagnole 3/2018, que la dette soit certaine, échue et exigible, ce qui n'était pas le cas en l'espèce. La communication des données, qui constitue en soi un traitement, était donc dépourvue de base légale. L'argument de la société selon lequel l'inscription n'a pas été effective ou consultée par des tiers a été écarté, l'infraction étant constituée dès la communication illicite des données.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 16 000 € à RETSINNAL GROUP, S.L.U.

Enseignements

Cette décision rappelle que :

• La simple communication de données à un tiers, tel qu'un fichier de solvabilité, constitue un traitement de données soumis au RGPD, indépendamment de la validation, de la publication ou de la consultation ultérieure de ces données.
• L'inscription d'une dette dans un fichier de solvabilité n'est licite que si la créance est certaine, échue et exigible ; une dette faisant l'objet d'une contestation administrative ou judiciaire ne remplit pas ces conditions.
• Des mesures correctrices prises après la constatation d'un traitement illicite, comme l'annulation de la dette ou le retrait des données, peuvent constituer une circonstance atténuante mais n'effacent pas la responsabilité pour l'infraction initiale.
• Il incombe au responsable du traitement de vérifier et de documenter que toutes les conditions légales sont remplies avant de communiquer des données à un système d'information sur le crédit.