Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de directive relative aux crédits aux consommateurs

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(2021/C 403/05)

Le 30 juin 2021, la Commission européenne a adopté une proposition de directive relative aux crédits aux consommateurs. Cette proposition vise à remplacer la directive 2008/48/CE concernant les contrats de crédit aux consommateurs et à adapter les règles actuelles à la numérisation en cours du marché et à d’autres tendances (nouveaux opérateurs, tels que les plateformes de prêt entre pairs, et nouvelles formes de crédit à la consommation, telles que les prêts à court terme et à coûts élevés).

Le CEPD salue l’objectif de renforcement de la protection des consommateurs et rappelle la relation de complémentarité entre la protection des consommateurs et la protection des données. La proposition a une incidence claire sur la protection des droits et libertés des personnes à l’égard du traitement des données à caractère personnel, notamment à la lumière des dispositions concernant l’évaluation de la solvabilité, les offres personnalisées sur la base d’un traitement automatisé et l’utilisation de données à caractère personnel dans le cadre d’activités de conseil et de toute autre nature.

Pour promouvoir un accès équitable au crédit et à la protection des données, le CEPD recommande de délimiter clairement les catégories et les sources de données à caractère personnel qui peuvent être utilisées aux fins de l’évaluation de la solvabilité. Plus particulièrement, le CEPD invite le législateur à s’efforcer de renforcer la protection des consommateurs et l’harmonisation en spécifiant clairement les catégories de données qui devraient et ne devraient pas être traitées. Le CEPD recommande également d’interdire explicitement l’utilisation de toute catégorie spéciale de données à caractère personnel au titre de l’article 9 du RGPD.

Compte tenu des conséquences négatives éventuelles pour les personnes concernées, le CEPD estime qu’il conviendrait d’aborder les exigences, le rôle et les responsabilités des bases de données sur le crédit ou les tiers évaluant le risque de crédit. Des précisions supplémentaires devraient également être apportées s’agissant des situations dans lesquelles la consultation de sources externes est nécessaire et proportionnée.

Les consommateurs devraient systématiquement recevoir des informations préalables significatives chaque fois que l’évaluation de leur solvabilité repose sur un traitement automatisé. Lorsque l’évaluation de la solvabilité implique le recours à un profilage ou à un autre traitement automatisé de données à caractère personnel, les consommateurs devraient pouvoir demander et obtenir une évaluation humaine.

S’agissant des offres personnalisées sur la base d’un traitement automatisé, le CEPD recommande d’introduire l’obligation pour le prêteur de fournir des informations claires, significatives et uniformes sur les paramètres utilisés pour déterminer le prix. Par ailleurs, le CEPD encourage le législateur à délimiter clairement les catégories de données à caractère personnel qui peuvent être utilisées comme paramètres pour formuler une offre personnalisée.

Le CEPD recommande de confirmer explicitement la pleine applicabilité du règlement 2016/679 (le «RGPD») à tout traitement de données à caractère personnel relevant du champ d’application de la proposition. Compte tenu de la proposition de législation sur l’intelligence artificielle, le CEPD recommande de veiller à ce que les règles pertinentes en matière de crédit à la consommation et de protection des données soient intégrées dans le processus d’évaluation de la conformité (par un tiers) avant le marquage CE.

1 Contexte

1. Le 30 juin 2021, la Commission européenne a adopté une proposition de directive sur le crédit à la consommation (la «proposition») ( 1 ) . Cette proposition vise à moderniser les règles en matière de crédit à la consommation afin de tenir compte des changements résultant de la numérisation ( 2 ) et à abroger la directive 2008/48/CE concernant les contrats de crédit aux consommateurs ( 3 )

2. La proposition fait suite à une évaluation REFIT, dont il est ressorti que les objectifs de la directive 2008/48/CE, à savoir garantir des normes élevées de protection des consommateurs et favoriser le développement d’un marché intérieur du crédit, restent pertinents. Il est également ressorti de cette évaluation que le paysage réglementaire reste très fragmenté dans l’ensemble de l’UE et que la formulation imprécise de certaines dispositions de la directive est source d’insécurité juridique: ces deux facteurs entravent le bon fonctionnement du marché intérieur du crédit à la consommation et ne garantissent pas un niveau uniformément élevé de protection des consommateurs ( 4 )

3. Dans ce contexte, la proposition vise à renforcer la protection des consommateurs en remédiant aux lacunes concernant le champ d’application de la directive 2008/48/CE, en renforçant et en harmonisant l’obligation de fournir aux consommateurs des informations et des explications adéquates, en mettant en place des garanties liées, entre autres, aux taux d’intérêt et au coût du crédit, et en promouvant l’éducation financière.

4. Le CEPD fait observer que la proposition aura une incidence évidente sur la protection des données, en particulier à la lumière de ses dispositions concernant: la publicité et la commercialisation de contrats de crédit (article 7); les offres personnalisées sur la base d’un traitement automatisé (article 13); l’obligation d’évaluer la solvabilité du consommateur (article 18), ce qui peut nécessiter la consultation des bases de données appropriées (article 18, paragraphe 9), également hébergées dans un État membre autre que celui du prêteur en cas de services de crédit transfrontières (article 19); les services de conseil (article 16); les activités énumérées à l’article 32, paragraphe 1, points a) à e).

5. Le 1 er juillet 2021, la Commission européenne a demandé au CEPD d’émettre un avis sur la proposition, conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725. Ces observations se limitent aux dispositions pertinentes de la proposition en matière de protection des données.

4 Conclusions

À la lumière de ce qui précède, le CEPD:

— se félicite de l’objectif poursuivi par la proposition de renforcer la protection des consommateurs pour faire face aux risques posés par la numérisation du crédit à la consommation;

— rappelle la relation de complémentarité entre la protection des consommateurs et la protection des données, ainsi que le rôle important que ces derniers peuvent jouer également en termes de responsabilisation des consommateurs;

— recommande de délimiter davantage les catégories de données qui peuvent ou ne peuvent pas être utilisées aux fins de l’évaluation de la solvabilité et d’interdire explicitement l’utilisation de toute catégorie spéciale de données à caractère personnel au titre de l’article 9 du GDPR dans le dispositif de la proposition;

— recommande d’indiquer plus clairement les sources externes qui peuvent être considérées comme «pertinentes» dans le cadre de l’évaluation de la solvabilité;

— recommande d’aborder les exigences, le rôle et les responsabilités des bases de données de crédit ou des tiers évaluant le risque de crédit, ainsi que d’apporter des clarifications supplémentaires concernant les situations dans lesquelles la consultation de ces sources externes est nécessaire et proportionnée;

— recommande d’ajouter à l’article 18, paragraphe 3, de la proposition que les procédures d’évaluation de la solvabilité doivent inclure une procédure de contrôle de la qualité des données;

— recommande de remplacer l’expression «intervention» [humaine] par «évaluation» [humaine] à l’article 18, paragraphe 6, et au considérant 48 de la proposition. Qui plus est, le CEPD recommande de veiller à ce que le consommateur soit informé dans tous les cas (c’est-à-dire pas uniquement lorsque la demande de prêt est rejetée) lorsque l’évaluation de la solvabilité repose sur un traitement automatisé;

— se félicite de l’obligation d’informer les consommateurs qu’ils se voient présenter une offre personnalisée. Toutefois, le CEPD recommande d’ajouter l’obligation de fournir des informations claires, significatives et uniformes sur les paramètres utilisés pour déterminer le prix et de délimiter clairement les catégories de données à caractère personnel qui peuvent être utilisées comme paramètres pour formuler une offre personnalisée;

— se félicite du droit du consommateur d’être informé du résultat de la consultation d’une base de données aux fins de l’évaluation de sa solvabilité. Le CEPD recommande cependant de prévoir l’obligation d’informer au préalable le demandeur de cette consultation. Le CEPD recommande par ailleurs d’harmoniser les catégories d’informations qui peuvent figurer dans les bases de données pour l’évaluation de la solvabilité;

— recommande de préciser dans la proposition que l’utilisation de données collectées et traitées dans le cadre de l’évaluation de la solvabilité à des fins publicitaires et commerciales ne devrait pas être autorisée;

— recommande d’expliciter dans la proposition quelles informations concernant la situation financière, les préférences et les objectifs du consommateur en rapport avec le contrat de crédit ou les services de crédit participatif peuvent être considérées comme «strictement nécessaires» aux fins de la fourniture de services de conseil et des activités énumérées à l’article 32, paragraphe 1, de la proposition;

— recommande d’inclure une disposition et un considérant correspondant consacrés à l’applicabilité du RGPD dans le contexte de la proposition, et plus particulièrement sur le traitement des données à caractère personnel par les prêteurs et les prestataires de services de crédit participatif;

— rappelle la nécessité d’intégrer les exigences de la législation sur la protection des données et de la législation sur le crédit à la consommation dans les exigences de la proposition de législation sur l’intelligence artificielle, en particulier dans le contexte de la certification des systèmes d’IA utilisés pour l’évaluation de la solvabilité, notamment dans le cadre du processus d’évaluation de la conformité (par des tiers) précédant le marquage CE.

Bruxelles, le 26 août 2021 p.o. Leonardo CERVERA NAVAS Directeur Wojciech Rafał WIEWIÓROWSKI

(1) Proposition de directive du Parlement européen et du Conseil relative aux crédits aux consommateurs, 30 juin 2021, 2021/0171 (COD).

(2) Voir page 3 de l’exposé des motifs.

(3) Directive 2008/48/CE du Parlement européen et du Conseil du 23 avril 2008 concernant les contrats de crédit aux consommateurs et abrogeant la directive 87/102/CEE du Conseil (JO L 133 du 22.5.2008, p. 66).

(4) Voir page 1 de l’exposé des motifs.