Pour "faciliter" l'obtention d'un prêt, une banque sollicitait de la part de ses clients la communication de leurs identifiants impots.gouv.fr, permettant d'aspirer l'ensemble de leurs documents fiscaux.
Une personne a porté plainte devant la CNIL en janvier 2022 face à cette demande non-nécessaire de donnée sensible.
Ce n'est qu'en août 2023, soit plus d'un an et demi après, que la CNIL a mis en demeure la banque de faire cesser cette violation du RGPD.
La banque, interrogée à cette époque, déclarait publiquement : «Pour nous, on respecte nos obligations de protection, d’anonymisation et de sécurité».
Le 30 septembre 2023, la banque a cessé de mettre en œuvre ce traitement de données litigieux et s'est conformée à la législation.
La CNIL a ensuite clôturé la plainte. Cette décision fut attaquée devant le Conseil d’État qui vient de rejeter ce recours.
Le caractère illégal du traitement des identifiants des impôts ne fait aucun doute selon le juge, malgré les affirmations contraires de la banque au moment de la mise en demeure.
La circonstance que la CNIL ait mis plus d'un an et demi à agir n'est pas susceptible d'entraîner l'illégalité de la décision de clôture selon le juge.
Cela est critiquable car pendant ce temps, la banque a pu mettre en œuvre un traitement de données qu'elle savait très probablement illégal, et récupérer a minima des dizaines de milliers d'identifiants illégalement.
Puisque la banque se serait conformée dans les délais à la mise en demeure, il n'était pas imposé à la CNIL de saisir la formation restreinte pour potentiellement prononcer une amende administrative à l'encontre de la banque selon le juge.
On peut aussi considérer que si la banque s'est si rapidement mise en conformité, c'est car elle savait très certainement que sa demande d'identifiants était illégale.
Si la CNIL avait agi plus tôt, la banque se serait probablement mise en conformité dans les mêmes délais après une mise en demeure.
Un contentieux devant le Conseil d’État aurait été évité, dans la mesure où il aurait été peu opportun de critiquer une telle décision.
Les banques sont d'ailleurs averties sur la problématique des identifiants, puisqu'elles n'ont de cesse de rappeler à leurs clients de ne pas utiliser leurs identifiants bancaires en dehors de leur propre banque. Un raisonnement qui aurait pu être tenu concernant les identifiants des impôts.
Enfin, à titre d'exemple, le Garante (autorité de protection des données italienne) a récemment prononcé une amende d'1 million d'euros à l'encontre d'une banque italienne qui, au nom d'une autre société du même groupe, a accédé illégalement à une base de données gouvernementale utilisée à des fins de prévention contre la fraude.
En France, sur la base du même texte applicable, la banque n'a pas été ici sanctionnée financièrement.
Sources :
- Conseil d'État, 10ème Chambre, 31 décembre 2024, décision n°493549 : https://justice.pappers.fr/decision/69077c3006e8e855648d547d07f691c3b20c0a50
- Garante per la protezione dei dati personali (Italy) - décision n°10043007 : https://gdprhub.eu/index.php?title=Garante_per_la_protezione_dei_dati_personali_(Italy)_-_10043007
Crédits image : Unsplash - Sasun Bughdaryan