Clarifications significatives de la Cour de justice de l’Union européenne concernant le rôle du score SCHUFA dans l’évaluation de la solvabilité
Le 7 décembre 2023, la Cour de justice de l’Union européenne (CJUE) a rendu, dans le cadre de plusieurs procédures préjudicielles (affaires C-634/21, C-26/22 et C-64/22), des arrêts qui révisent fondamentalement la compréhension antérieure du traitement et de l’utilisation du fameux score SCHUFA. Ces jugements portent sur des aspects centraux du Règlement général sur la protection des données (RGPD), sur l’évaluation de la solvabilité ainsi que sur la mise en balance des intérêts en matière de protection des données entre les personnes concernées et les sociétés d’information sur la solvabilité.
Contexte de la décision
Les procédures concernaient des plaintes de citoyens s’opposant au traitement automatisé et à l’utilisation déterminante des scores SCHUFA par les banques et d’autres partenaires commerciaux dans le cadre de décisions de crédit. Il s’agissait essentiellement de clarifier si, et dans quelle mesure, la valeur du score fondée sur des algorithmes pouvait être déterminante pour l’octroi de crédit, par exemple lors de demandes de prêts, de contrats de leasing ou de signatures de contrats.
Traitement des données et prise de décision automatisée
Le score comme profilage à caractère personnel
La CJUE a précisé que l’établissement d’un score SCHUFA constitue une forme de « profilage » au sens de l’article 4, point 4 du RGPD. Pour ce faire, des données, notamment relatives à la fidélité de paiement et au respect des contrats, sont agrégées, analysées puis converties en une évaluation numérique. Il en résulte un profil de risque personnel mis à la disposition des banques et d’autres partenaires commerciaux.
Pertinence au sens du RGPD
Il est particulièrement important de noter que l’utilisation exclusive ou prédominante d’un tel score pour décider de la conclusion ou du refus d’un contrat constitue une décision individuelle automatisée au sens de l’article 22 du RGPD. La question centrale est alors de savoir si un contrôle humain intervient encore ou si le résultat chiffré du score s’avère en pratique contraignant pour la décision.
Incidences sur la pratique commerciale des établissements de crédit et des sociétés d’information sur la solvabilité
Admissibilité des décisions automatisées
Selon les arrêts, il n’est désormais plus permis aux banques, compagnies d’assurance et autres partenaires contractuels d’utiliser le score SCHUFA comme seul facteur déterminant ou à titre prépondérant dans la prise de décision, à moins que des mesures suffisantes soient prises pour garantir une évaluation individuelle supplémentaire. Seul un rôle subsidiaire de l’information issue du scoring est permis.
Transparence et droits à l’information
Les arrêts soulignent également le droit des personnes concernées à une information transparente conformément à l’article 15 du RGPD. Les entreprises sont tenues de révéler dans quelle mesure et sur quelle base de données le score est établi, ainsi que la manière dont il a été utilisé lors du processus décisionnel.
Autres questions juridiques : traitement des anciennes inscriptions et suppression des données
Traitement des procédures de rétablissement personnel
Un autre point essentiel était le traitement des informations relatives aux procédures de rétablissement personnel obtenues et leur conservation dans le cadre des processus de scoring. La CJUE a précisé que les dispositions nationales prévoyant la conservation de ces données au-delà de la durée prévue par les registres publics ne sont pas compatibles avec le droit européen. Cela signifie qu’une conservation et une utilisation continue de telles informations par des agences comme la SCHUFA peut devenir illicite dès lors que les registres publics ont supprimé les informations correspondantes.
Droit à l’effacement et rectification
Pour les personnes concernées, ces décisions renforcent leur droit à l’effacement ou à la rectification de données inexactes ou obsolètes liées au score. En particulier, les données concernant les procédures de rétablissement personnel ne doivent pas être conservées plus longtemps que la durée prévue pour les registres publics.
Conséquences pour le secteur du crédit et la pratique contractuelle
Les arrêts de la CJUE ne se contentent pas de préciser l’interprétation du RGPD en lien avec les vérifications de la solvabilité mais concernent également les modèles économiques fondamentaux des agences de renseignement de crédit et des établissements financiers. Les banques et compagnies d’assurance sont tenues d’adapter leurs processus d’évaluation de la solvabilité à des bases de décision plus multilatérales afin d’éviter à l’avenir des refus purement automatisés sur la base d’un score.
Exigences relatives à la motivation des décisions
Ainsi, il sera désormais nécessaire de procéder à une documentation détaillée et, le cas échéant, à un contrôle humain du cas individuel afin de satisfaire aux exigences de la CJUE et du RGPD. Ces décisions renforcent la position juridique des consommateurs et accroissent les exigences en matière de transparence et de traçabilité dans le traitement des données à caractère personnel.
Possibles impacts sur la pratique
Compte tenu de cette jurisprudence, il est à prévoir que tant les pratiques en matière d’information que les processus d’évaluation de la solvabilité dans de nombreuses entreprises devront être fondamentalement adaptés. Parallèlement, les autorités de contrôle de la protection des données surveilleront la bonne application et interviendront si nécessaire.
Conclusion et perspectives
Les récents arrêts de la CJUE marquent une étape majeure dans le droit de la protection des données et constituent un progrès juridique significatif s’agissant du traitement des données de scoring, en particulier du score SCHUFA. La portée de ces décisions ne concerne pas uniquement le secteur du crédit, mais s’étend à l’ensemble des pratiques d’évaluation de la solvabilité. Les entreprises, banques et agences de renseignements sont appelées à repenser de façon globale leurs processus décisionnels afin de se conformer aux exigences du droit de l’Union.
Pour les entreprises, les investisseurs et les particuliers, de nouveaux défis et questions en découlent, notamment en ce qui concerne la conception conforme à la protection des données des processus internes, la mise en balance des intérêts lors de l’évaluation de la solvabilité, ainsi que la garantie des droits d’accès et de rectification.
En cas de questions complexes et de préoccupations individuelles soulevées par la nouvelle jurisprudence de la CJUE et sa mise en œuvre pratique, des évaluations juridiques ciblées peuvent apporter des éclaircissements.
Remarque : Cet article est uniquement destiné à l’information. Pour toute question complémentaire, les Rechtsanwalt de MTR Legal se tiennent à votre disposition, forts de leur expérience approfondie en droit bancaire, de la protection des données et des contrats.
