Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 354

DOCTR INE
à limiter les impacts du traitement
sur les personnes concernées, et ce
afin d'atteindre un équilibre entre
les droits et intérêts en cause. « Par
exemple, il peut être prévu, pour
un traitement de ciblage fin des
comportements d'achats en ligne
des individus, susceptible de révéler
de nombreuses préférences et
habitudes touchant à leur intimité,
un droit d'opposition inconditionnel
des personnes, afin de leur permettre
de faire cesser le profilage intrusif
dont ils font l'objet. »
L'affaire
A la suite d'une plainte, l'autorité
hongroise de
protection des
données a enquêté sur les pratiques
d'une banque qui avait recours à
un dispositif (i) d'enregistrement
des conversations téléphoniques
du service clientèle et (ii) d'analyse
automatique de l'état émotionnel des
appelants, ainsi que qu'autres caractéristiques
de la conservation et ce,
aux fins d'identifier et de rappeler les
clients mécontents. La seule mention
d'information portée à connaissance
des clients de la banque était celle
figurant sur le site internet de cette
dernière, rédigée comme suit : « [La
banque] effectue un profilage fondé
sur l'intérêt légitime et sélectionne
les appels par décision automatique
afin qu'un employé de la banque plus
qualifié puisse résoudre le problème
ou la plainte soulevée dans l'appel au
moyen d'un rappel. » Après instruction
du dossier, l'autorité hongroise
de protection des données a identifié
plusieurs manquements de la
banque au RGPD.
L'autorité a, tout d'abord, rappelé
qu'un tel dispositif basé sur
l'intelligence artificielle doit être
déployé sous réserve de garanties
appropriées
parce que
les
personnes concernées sont bien
souvent incapables d'évaluer
l'impact du traitement sur leurs
droits individuels, une telle technologie
permettant « d'obtenir des
données dont le client n'a même
pas conscience » faisant passer
la
personne
concernée
« du
statut de sujet de la procédure à
celui d'objet. » Or, en l'espèce,
l'autorité, relevant que non seulement
« l'information préalable
adéquate » faisait défaut, mais
que le droit d'opposition n'était
pas assuré, a considéré que la
banque, qui se fondait sur l'intérêt
légitime comme base légale du
traitement, a seulement établi que
le traitement est « nécessaire aux
fins de l'intérêt qu'elle cherche
à atteindre » sans jamais véritablement
prendre en compte « les
intérêts des personnes concernées
». Dès lors que « la mise en
balance des intérêts effectuée par
la banque ne fournit pas un résultat
équitable fondé sur l'analyse
requise par le Règlement général
sur la protection des données » et
qu'en conséquence, « la primauté
de l'intérêt légitime qui la fonde sur
les droits et libertés de la personne
concernée ne peut être établie », la
banque n'a pas respecté les dispositions
du RGPD. En raison de
l'invalidité de la mise en balance
des
intérêts,
l'autorité a considéré
que le traitement d'analyse
automatique des enregistrements
audio ne reposait sur aucune
base légale, et ce en violation des
dispositions de l'article 6 du RGPD.
Compte tenu de ce qui précède,
l'autorité a prononcé à l'encontre
de la banque une amende d'un
montant de plus de six millions
d'euros.
Quelles
recommandations ?
En cas de déséquilibre, il est indispensable
pour le responsable du
traitement de mettre en œuvre
des
mesures
compensatoires
permettant d'atteindre un équilibre
effectif entre son intérêt légitime et
les droits et intérêts des personnes
concernées par le traitement. Si la
pondération apparaît ainsi équilibrée,
il peut fonder son traitement
sur la base légale de l'intérêt légitime.
Dans le cas contraire, une
autre base légale, comme le
consentement, doit être envisagée.
Alexandre FIEVEE
Avocat Associé
DERRIENNIC ASSOCIES
Notes
(1) https://www.cnil.fr/fr/les-bases-legales/
interet-legitime
(2) https://www.cnil.fr/fr/les-bases-legales/
interet-legitime
(3) https://www.cnil.fr/fr/les-bases-legales/
interet-legitime
(4) https://www.cnil.fr/fr/les-bases-legales/
interet-legitime.
(5)
Autorité hongroise pour la protection des
données, NAIH-85-3/2022, 8 février 2022.

354
Vous avez envie de vous exprimer sur un sujet qui vous tient à cœur, de partager votre analyse
avec la communauté des lecteurs d'Expertises, d'exposer un point de vue différent sur un article
déjà publié, de lancer un débat sur un thème émergent, ou simplement de commenter l'actualité
du droit du numérique ?
Contactez la rédactrice en chef d'Expertises Sylvie Rozenfeld sr@expertises.info
EXPERTISES OCTOBRE 2022

https://www.cnil.fr/fr/les-bases-legales/interet-legitime https://www.cnil.fr/fr/les-bases-legales/interet-legitime https://www.cnil.fr/fr/les-bases-legales/interet-legitime https://www.cnil.fr/fr/les-bases-legales/interet-legitime

Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia