La Cour administrative suprême de Pologne a confirmé les décisions de l'autorité de protection des données (UODO) à l'encontre de la banque Alior Bank et de l'établissement de crédit SKOK Stefczyka, concernant le traitement des données personnelles de clients potentiels après un refus de crédit.

Ces affaires débutent par les plaintes de deux personnes qui, après avoir déposé une demande de crédit et vu leur contrat non finalisé, se sont vu refuser la suppression de leurs données personnelles par les établissements financiers et le Bureau d'information sur le crédit SA (BIK).

Suivant la position de l'UODO, la Cour a estimé :

* Obligation de licéité du traitement (article 5 et article 6 du RGPD) : Les établissements financiers et le Bureau d'information sur le crédit ont continué à traiter les données des demandeurs après qu'il fut établi qu'aucun contrat de crédit ne serait conclu. L'autorité, suivie par la Cour, a rejeté l'argument d'une obligation légale issue du droit bancaire polonais, estimant que ces dispositions ne s'appliquent qu'en présence d'une relation contractuelle. De même, l'intérêt légitime (article 6, paragraphe 1, point f) du RGPD) invoqué pour se prémunir contre d'éventuelles réclamations futures a été jugé irrecevable, car il ne peut justifier un traitement de données "à l'avance" pour des situations hypothétiques et pour des finalités nouvelles, telles que la construction de modèles de notation pour une durée de 5 à 12 ans.

En conséquence, la Cour a validé la position de l'autorité, jugeant que la conservation des données des demandeurs dans ces circonstances était dépourvue de base légale.

Cette décision confirme donc l'obligation pour les organismes de supprimer les données des demandeurs une fois le processus d'évaluation de crédit terminé sans conclusion de contrat.