Source: https://credit2consumer.be/fr/traitement-des-donnees/traitement-des-donnees-cc-2/vii-121-vii-147-37-information-consommateur
Timestamp: 2020-02-28 18:26:53+00:00
Document Index: 331258118

Matched Legal Cases: ['§ 1', '§ 2', "l'article 27", "l'article 6", "l'article 6", "l'article 12", "l'article 13", "l'article 14", '§ 2', '§ 2']

VII.121 - VII.147/37 : Information consommateur - credit2consumer.be
VII.121 - VII.147/37 : Information du consommateur lors de l'enregistrement
Le RGPD, norme supérieure au CDE, conséquences.
Le régime du RGPD
L'information de la personne auprès de laquelle les données sont collectées
Informations à fournir dans tous les cas
A quel moment et sous quelle forme l'information doit-elle être communiquée ?
L'exigence de transparence - lisibilité et accessibilité de l'information
L'information lorsque les données ne sont pas collectées auprès de la personne concernée
L'information pour l'enregistrement des données à la Centrale des Crédits aux Particuliers
Les autres obligations d'information du responsable du traitement
Le texte des dispositions est identique.
§ 1er. Lorsqu'un consommateur ou la personne qui constitue une sûreté est pour la première fois enregistré dans un fichier en raison de défauts de paiement relatifs à des contrats de crédit au sens du présent livre, il en est immédiatement informé, directement ou indirectement, par le responsable du traitement.
§ 2. Cette information doit mentionner:
1° l'identité et l'adresse du responsable du traitement. Lorsque celui-ci n'est pas établi de manière permanente sur le territoire de l'Union européenne, il doit désigner un représentant établi sur le territoire belge, sans préjudice d'actions qui pourraient être introduites contre le responsable du traitement lui-même;
2° l'adresse de la Commission de la Protection de la Vie Privée;
3° l''identité et l'adresse de la personne qui a communiqué la donnée;
4° le droit d'accès au fichier, le droit de rectification des données erronées et le droit de suppression des données, les modalités d'exercice des dits droits, ainsi que le délai de conservation des données, s'il en existe un;
3° l'identité et l'adresse de la personne qui a communiqué la donnée;
Les articles VII.121 et VII.147/37 ont été insérés dans le CDE avant l'entrée en vigueur du RGPD, directement applicable dans les droits des Etats membres depuis le 25 mai 2018. Ce texte est une norme supérieure au droit national. Le CDE ne peut être appliqué que dans la mesure où il n'est pas contraire au RGPD. Or, le RGPD contient des dispositions plus détaillées que le CDE en matière d'information du consommateur lors de l'enregistrement initial des données. C'est donc le RGPD qui fournit la réglementation applicable en matière d'information des personnes concernées et les articles VII.121 et VII.147/34 doivent être considérés comme remplacés par les dispositions du RGPD (et notamment les articles 13 et 14 en ce qui concerne l'enregistrement initial).
"Le principe de traitement loyal et transparent exige que la personne concernée soit informée de l'existence de l'opération de traitement et de ses finalités. Le responsable du traitement devrait fournir à la personne concernée toute autre information nécessaire pour garantir un traitement équitable et transparent, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées. En outre, la personne concernée devrait être informée de l'existence d'un profilage et des conséquences de celui-ci. Lorsque les données à caractère personnel sont collectées auprès de la personne concernée, il importe que celle-ci sache également si elle est obligée de fournir ces données à caractère personnel et soit informée des conséquences auxquelles elle s'expose si elle ne les fournit pas" (considérant n°60 du RGPD).
L'article 13 du RGPD impose au responsable du traitement de communiquer à la personne concernée, au moment où les données en question sont obtenues, une liste d'informations plus large que celle qui était reprise dans la loi du 8 décembre 1992 et dans le CDE. Il s'agit de :
A cet égard, les articles VII.121 et VII.147/37 précisent que lorsque le responsable du traitement n'est pas établi sur le territoire de l'Union, il doit désigner un représentant responsable sur le territoire belge. Cette question est désormais réglée par l'article 27 du RGPD qui fait obligation au responsable du traitement établi en dehors de l'Union de désigner un représentant dans un des Etats membres dans lesquels se trouvent les personnes physiques dont les données à caractère personnel font l'objet d'un traitement (voir le texte complet de la disposition). L'exigence de disposer d'un représentant en Belgique paraît donc contraire au texte du RGPD et doit donc être considérée comme inapplicable, depuis le 25 mai 2018.
L'indication de la base juridique du traitement est une exigence nouvelle qui ne figurait pas dans le régime antérieur. Cette base juridique est à trouver dans l'une des 6 bases juridiques énumérées à l'article 6.1 du RGPD. L'indication de la base du traitement est une information importante pour la personne concernée puisqu'elle détermine l'étendue des droits de la personne et la nature des recours qui peuvent être exercés. Le traitement des donnée personnelles collectées à l'occasion d'un crédit est basé sur une obligation légale (hypothèse prévue à l'article 6.1, c) du RGPD).
Il est rappelé que les dispositions du CDE interdisent le transfert des données vers des tiers non autorisés par l'article VII.119 (VII147/35
Le droit d'opposition doit être signalé à la personne concernée au plus tard au moment de la première communication. Il doit être explicitement porté à l'attention de la personne concernée et être présenté clairement et séparément de toute autre information (article 21.4 RGPD).
Le RGPD prévoit que le responsable du traitement doit fournir des informations complémentaires pour garantir un traitement équitable et transparent, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées considérant 60 du RGPD).
Ces informations complémentaires concernent :
La durée des conservation des données à caractère personnel collectées à l'occasion d'un crédit réglementé est réglée par la loi (voyez le commentaire des articles VII.120 et VII.147/33).
Il est donc important qu'une distinction nette soit faite entre les informations recueillies sur base des articles VII.69 et VII.126 que la personne concernée ne peut refuser de fournir sous peine de se voir refuser le crédit et d'autres informations le prêteur peut solliciter sur d'autres bases juridiques et qui n'entrainent pas les mêmes conséquence en cas de refus.
Voyez les commentaires sur le crédit-scoring
Selon l'article 12.1, l'information doit être fournie à la personne concernée au moment où les données en question sont obtenues. Dans les crédits réglementés ce moment est celui où les personnes concernées (consommateur ou tiers qui consent une sûreté personnelle) répondent au questionnaire que le prêteur ou l'intermédiaire doivent leur soumettre. Les informations sont fournies à la personne concernée par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique (12.1, RGPD). L'ensemble de ces informations peut figurer, sous forme d'avertissement, sur le questionnaire remis au candidat emprunteur et à la personne qui constitue une sûreté personnelle, pour autant qu'un exemplaire de ce questionnaire soit laissé en leur possession. Dans la mesure où le prescrit légal oblige le responsable du traitement à informer le consommateur au moment de l’enregistrement du défaut de paiement, l'administration considère qu'une mention à priori dans le contrat signalant qu'il sera procédé à un enregistrement en cas de retard ne peut être considérée comme satisfaisant au devoir d'information et ne peut dispenser de la notification au moment de l'enregistrement.
Le RGPD souligne en son article 12.1, que l'information doit être fournie à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Le responsable doit faciliter l'exercice des droits reconnus à la personne concernée (12.2, RGPD).
L'article 14 du RGPD stipule l'obligation du responsable du traitement d'informer également la personne concernée lorsque ses données à caractère personnel ne sont pas recueillies auprès d'elle. Elles peuvent être recueillies auprès d'un tiers ou simplement collectées à l'occasion d'un autre traitement sans aucune intervention d'une autre personne. Le devoir d'information est similaire à celui qui est prévu par l'article 13 du RGPD lorsque c'est la personne elle-même qui fournit les données. Le législateur communautaire y a ajouté l'obligation de préciser les catégories de données concernées (14.1, d), RGPD - ce qui n'est évidemment pas nécessaire lorsque c'est la personne elle-même qui fournit les données) ainsi que l'identification de la source d'où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu'elles sont issues ou non de sources accessibles au public (14.2, g), RGPD).
Il est fréquent que lors d'une demande de crédit, des données à caractère personnel soient fournies par le demandeur de crédit, sur d'autres personnes physiques qui n'interviendront pas dans l'opération de crédit : il peut s'agir par exemple de fournir une composition de ménage; ou de préciser les revenus d'un conjoint ou un cohabitant ou d'indiquer des dettes ou des créances (par exemple alimentaires ou locatives) à l'égard d'une autre personne etc. Lorsqu'il enregistre les données personnelles de personnes physiques qui ne sont pas les demandeurs de crédit, le prêteur et l'intermédiaire de crédit ont donc l'obligation fournir à cette personne les informations reprises à l'article 14 RGPD. Il faut rappeler cependant que les informations ne doivent être collectées que dans la mesure où elles sont nécessaires et pertinentes. Les données de l'identité d'un créancier n'est pas toujours une information nécessaire et pertinente.
L'article 14.3, du RGPD précise que l'information doit être fournie à la personne concernée dans un délai raisonnable après avoir été collectée sans que cela puisse dépasser un mois. Si ces données sont utilisées pour communiquer avec la personne ou transmises à un tiers, l'information doit être communiquée au plus tard lors de cette communication ou transmission.
Le RGPD prévoit en son article 14.5 que l'obligation d'information ne s'applique pas dans les hypothèses suivantes
la fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques;
L'enregistrement des données dans la CCP, lors de la conclusion du contrat de crédit, est portée à la connaissance de la personne concernée par une mention obligatoire dans le contrat de crédit (articles VII.78, § 2, 10° à 13°, et VII.134, § 2, 10° à 13°). Cette information ne concerne cependant que l'emprunteur. Une information spécifique devra donc est donnée à la personne qui constitue une sûreté personnelle. Lors de l'enregistrement d'un défaut de paiement, l'information sera donnée par la Banque nationale de Belgique qui communiquera à la personne concernée (article VII.151, CDE) :
la référence du contrat concerné;
les finalités du traitement dans la Centrale;
le nom et l'adresse de la personne qui a communiqué les données;
l'existence d'un droit d'accès, de rectification et de suppression des données ainsi que les délais de conservation de ces dernières;
les coordonnées de l'administration de surveillance compétente auprès du SPF Economie et de la Commission de Protection de la Vie Privée, devenue l’Autorité de la Protection des Données.
Voyez le commentaire relatif à la Centrale des Crédits aux Particuliers
Le RGPD ne prévoit pas seulement le devoir d'information lors de l'enregistrement initial des données à caractère personnel. Il stipule également que le responsable du traitement doit informer la personne concernée lors de la rectification ou lors de l'effacement des données (article 19, RGPD), lorsqu'il met fin à la limitation de traitement des données (article 18.3, RGPD) et lorsque le responsable constate une violation de ses données personnelles (article 34, RGPD).
Par ailleurs, les articles VII.79 et VII.137, CDE, précisent qu'en cas de refus du crédit, le prêteur doit communiquer au consommateur sans délai et sans frais, le résultat de la consultation ainsi que l'identité ainsi que l'adresse du responsable du traitement des fichiers qu'il a consultés y compris le cas échéant, l'identité ainsi que l'adresse de l'assureur de crédit consulté, et auquel le consommateur peut s'adresser. Le prêteur doit en outre préciser si le refus est fondé sur un traitement automatisé des données
Voyez le commentaire des articles VII.79 et VII.137
Voyez le commentaire des article VII.122 et VII.147/38
Représentant des responsables du traitement et des sous-traitant qui ne sont pas établis dans l'Union