L'autorité grecque a prononcé une réprimande à l'encontre d'un organisme de crédit pour manquement au principe d'exactitude, en raison de retards dans la correction de données financières erronées, et lui a ordonné de revoir ses procédures de vérification.

Faits et contexte

L'autorité hellénique de protection des données a aujourd'hui publié une décision de sanction à l'encontre de la société TΕΙΡΕΣΙΑΣ Α.Ε. pour des manquements en lien avec l'exactitude des données financières personnelles.

L'affaire trouve son origine dans la plainte d'une personne physique concernant le refus de la société de rectifier et d'effacer des données inexactes et obsolètes relatives à des prêts inscrits dans ses fichiers de crédit, suite à des demandes formulées les 4 octobre 2022 et 29 janvier 2023.

Motifs de la décision

• Obligation d'exactitude (article 5, paragraphe 1, point d) du RGPD) : L'autorité a constaté que la société, en sa qualité de responsable du traitement, n'avait pas pris toutes les mesures raisonnables pour garantir l'exactitude des données personnelles qu'elle traitait. Plusieurs enregistrements concernant le plaignant se sont avérés erronés ou obsolètes, notamment un prêt qualifié d'inexistant et des dettes réglées depuis plusieurs années dans le cadre de la loi n. 3869/2010. Bien que la société ait engagé des démarches auprès des institutions financières sources (Veraltis Gestion d'Actifs, Intrum Grèce, Banque Piraeus, Banque Eurobank), l'autorité a jugé que les retards significatifs dans la correction et la mise à jour de ces informations constituaient une violation du principe d'exactitude. Le fait que la société ait dû suspendre temporairement la transmission de certaines données et en supprimer d'autres tardivement (le 8 octobre 2024) a confirmé la persistance du manquement.

Décision de l'autorité

En conséquence, l'autorité a prononcé une réprimande à l'encontre de TΕΙΡΕΣΙΑΣ Α.Ε., en application de l'article 58, paragraphe 2, point b) du RGPD.

En outre, l'autorité a ordonné à la société de développer et de mettre en œuvre une procédure améliorée pour garantir le respect du principe d'exactitude, notamment en assurant des réponses rapides et correctes de la part des entités fournissant les données. La société doit soumettre à l'autorité la documentation relative à ces nouvelles mesures dans un délai de six mois.

Enseignements

Cette décision rappelle que :

• Le responsable du traitement qui centralise des données provenant de sources multiples reste pleinement responsable de leur exactitude et ne peut se décharger de cette obligation sur les entités lui transmettant les données.
• La rectification de données inexactes doit être effectuée dans des délais raisonnables ; des retards prolongés, même justifiés par des vérifications auprès de tiers, peuvent constituer un manquement au principe d'exactitude.
• Un responsable du traitement doit disposer de procédures internes robustes pour traiter efficacement les demandes de rectification et vérifier la fiabilité des informations contestées, sans faire peser une charge de la preuve excessive sur la personne concernée.
• La suspension temporaire de la transmission de données contestées est une mesure de protection adéquate, mais elle ne dispense pas le responsable du traitement de son obligation de corriger ou de supprimer définitivement les données inexactes dans les meilleurs délais.