La Cour administrative suprême de Pologne a confirmé la position de l'autorité de protection des données (UODO) selon laquelle les garanties prévues par le droit bancaire polonais en matière de traitement des données après l'extinction d'une obligation financière s'appliquent non seulement aux consommateurs, mais aussi aux personnes physiques exerçant une activité professionnelle.

Faits et contexte

L'autorité polonaise de protection des données (UODO) a publié une communication relative à un arrêt de la Cour administrative suprême du 2 septembre 2026 (réf. III OSK 252/24) confirmant sa position à l'encontre de la banque PKO BP S.A. et du Bureau d'Information sur le Crédit (BIK).

L'affaire trouve son origine dans les recours formés par les deux entités contre une décision de l'UODO concernant l'interprétation du terme "personne physique" dans la loi bancaire polonaise, qui conditionne le traitement des données des clients après la fin de leur relation contractuelle.

Motifs de la décision

Le raisonnement de la Cour, qui valide celui de l'UODO, repose sur l'interprétation du champ d'application des dispositions nationales spécifiques au secteur bancaire.

• Interprétation du champ d'application de la loi bancaire : La Cour a validé le raisonnement de l'UODO selon lequel les dispositions des articles 105a, paragraphes 2 et 3, de la loi bancaire polonaise s'appliquent à toutes les personnes physiques, y compris celles exerçant une activité professionnelle, et non uniquement aux consommateurs. Le secteur bancaire considérait jusqu'alors que ces règles, qui encadrent le traitement des données après l'extinction d'une obligation (soit sur la base du consentement, soit sans consentement en cas de défaut de paiement de plus de 60 jours et après une notification préalable de 30 jours), ne concernaient pas les entrepreneurs. La Cour a jugé que cette interprétation restrictive était incorrecte, étendant ainsi les garanties légales, comme la possibilité de traiter les données d'un débiteur jusqu'à 5 ans sans son consentement sous conditions strictes, à toutes les personnes physiques, indépendamment de leur statut de consommateur ou de professionnel.

Décision de l'autorité

En conséquence, la Cour administrative suprême a rejeté les pourvois en cassation formés par PKO BP S.A. et le Bureau d'Information sur le Crédit, validant ainsi la décision de l'UODO.

Enseignements

Cette décision confirme que :

• La notion de "personne physique" protégée par le droit des données personnelles est large et englobe les individus agissant dans un contexte professionnel, tels que les entrepreneurs individuels.
• Les dispositions de droit national servant de base légale au traitement de données doivent être interprétées à la lumière des principes généraux de la protection des données, sans restreindre indûment leur champ d'application.
• La distinction juridique entre un "consommateur" et un "professionnel", pertinente dans d'autres domaines du droit, ne doit pas conduire à priver une personne physique des garanties spécifiques prévues par la législation en matière de traitement de ses données personnelles.