Décision du tribunal administratif de Wiesbaden concernant l’action de surveillance contre la Schufa
La juridiction administrative avait déjà eu à se pencher à plusieurs reprises sur l’étendue des obligations d’information des agences de renseignements vis-à-vis des personnes concernées. Plus récemment, le tribunal administratif de Wiesbaden s’est, par décision du 29 décembre 2023 (réf. 6 K 788/20.WI), prononcé sur la question de savoir dans quelle mesure la législation sur la protection des données permet à la société Schufa Holding AG de mentionner, dans le cadre de la communication du score, les facteurs pris en compte pour le calcul, sans pour autant révéler les pondérations exactes.
Contexte de la procédure
L’origine de la procédure a été l’intervention de l’autorité de contrôle de la protection des données, qui a reproché que la manière dont la Schufa communiquait ses informations aux personnes concernées ne respectait pas suffisamment leurs droits d’accès prévus par l’article 15 du RGPD. Plus précisément, l’autorité reprochait que les informations fournies par la Schufa sur les valeurs de score ne présentaient les bases de calcul qu’à un niveau général, de sorte que les personnes concernées n’étaient pas en mesure de comprendre la logique des décisions individuelles.
Obligations de l’opérateur selon le RGPD
Étendue de l’obligation de communication
La procédure portait principalement sur la portée exacte de l’obligation d’information découlant de l’article 15, paragraphes 1 et 2 du RGPD. Selon ces dispositions, les personnes concernées ont le droit d’obtenir une explication complète sur les données à caractère personnel traitées, y compris des « informations significatives sur la logique impliquée » dans le cadre de processus décisionnels automatisés.
Divulgation des facteurs de pondération
Dans le cadre de la communication du score, la Schufa informait les personnes concernées des types de données pris en compte pour déterminer leur score et expliquait les facteurs de calcul généraux. Cependant, la pondération précise des différents points de données – invoquant la protection des secrets d’affaires – n’était pas communiquée. L’autorité de contrôle des données exigeait par ailleurs que ces informations devaient également être précisées.
Appréciation du tribunal administratif
Équilibre entre l’exigence de transparence et la protection des secrets d’affaires
Le tribunal administratif de Wiesbaden a estimé que la pratique adoptée par la Schufa était globalement conforme aux exigences en matière de protection des données. Le tribunal a notamment jugé que l’objectif de transparence pouvait être atteint par la communication des types de données pertinents et du fonctionnement général, sans restreindre de manière disproportionnée l’intérêt légitime de l’entreprise à la protection de ses secrets d’affaires.
Pas de droit à une information plus détaillée sur les pondérations
En conclusion, le tribunal n’a pas reconnu d’obligation de fournir, au-delà des informations déjà transmises, des détails sur les facteurs de pondération individuels ou les modèles mathématiques. Une telle obligation porterait atteinte à la capacité concurrentielle de l’agence de renseignements, sans pour autant apporter un bénéfice d’information significatif à la personne concernée.
Portée pour les entreprises concernées et les responsables
La décision du tribunal administratif de Wiesbaden revêt une grande importance pour la manière dont les agences de renseignements et d’autres entités traitant des données répondent aux demandes d’accès sur la base du RGPD. La motivation du jugement souligne que la protection des secrets d’affaires continue d’être prise en compte lors de la détermination des obligations d’information. Les entreprises concernées doivent toutefois veiller à fournir des informations significatives sur le fonctionnement de leurs processus décisionnels automatisés.
Il convient de noter que des voies de recours contre cette décision sont actuellement ouvertes (situation selon VG Wiesbaden, 6 K 788/20.WI), de sorte que la situation juridique pourrait faire l’objet d’autres clarifications judiciaires. La présomption d’innocence s’applique donc à toutes les parties concernées.
Besoin de discussion et qualification juridique
Pour les entreprises responsables, la décision précise qu’elles disposent encore d’une certaine marge de manœuvre quant à la manière de satisfaire à leurs obligations issues de l’article 15 du RGPD en lien avec les processus décisionnels automatisés. Néanmoins, la mise en œuvre concrète reste un domaine complexe et en constante évolution, qui doit être régulièrement réévalué à la lumière de nouvelles décisions de justice.
Ceux qui, au vu de la complexité du droit de la protection des données, souhaitent une analyse approfondie de leurs processus en lien avec les droits d’accès et d’information en vertu du RGPD, trouveront des informations complémentaires et des conseils juridiques personnalisés en matière de protection des données chez MTR Legal.
