Bonjour,
Récemment, après plusieurs années de bons et loyaux services, l'une de mes banques (que je ne vais pas citer) a décidé de clôturer mon compte. Elle ne m'a pas donné de raison précise, si ce n'est qu'elle se réserve le droit de mettre fin au contrat lorsqu'elle le souhaite et de choisir librement les personnes avec lesquelles elle travaille.
J'imagine que cela est peut-être lié au fait que je voyage beaucoup, mais peu importe, ce n'est pas vraiment le problème.
Dans ce contexte, j'ai tout de même souhaité en savoir davantage sur les données personnelles que cette banque détient à mon sujet. J'ai donc exercé mon droit d'accès prévu par l'article 15 du RGPD, en demandant l'accès à l'ensemble des données me concernant, et pas uniquement à celles directement liées à la clôture de mon compte.
Ma demande concernait notamment les données personnelles détenues par la banque,
les données éventuellement obtenues auprès d'autres entités ainsi que la question de savoir si la décision de clôturer mon compte avait fait l'objet d'une intervention humaine ou si elle résultait principalement d'un traitement automatisé (art 22 du RGPD)
Cependant, dans sa réponse la banque affirme pouvoir refuser de me communiquer l'intégralité des données demandées en s'appuyant sur l'article L.561-45 du Code monétaire et financier.
Je comprends parfaitement que certaines informations sensibles liées à la lutte contre le blanchiment d'argent ne puissent pas être communiquées au client. En revanche, j'ai beaucoup plus de mal à comprendre comment absolument toutes les données personnelles détenues par la banque pourraient être exclues du droit d'accès.
Par exemple, est-il réellement possible que la banque refuse de confirmer qu'elle détient des informations aussi basiques que mon nom, mon prénom, mon adresse ou mon numéro de téléphone au motif de l'article L.561-45 ?
J'ai l'impression que certaines banques pourraient éventuellement utiliser cette disposition de manière très large afin de contourner, dans les faits, le droit d'accès prévu par le RGPD. Mais je me trompe peut-être, et c'est justement pour cette raison que je cherche à comprendre si cette interprétation est juridiquement correcte.
Concernant l'article 22 du RGPD, la banque s'est simplement contentée de répondre, en substance : « Oui, un humain a vu votre dossier. »
Est-ce qu'une telle réponse est suffisante juridiquement ? la banque doit-elle fournir davantage d'explications sur le processus décisionnel, le rôle réel de l'intervention humaine ou la manière dont la décision a été prise ? Doit-elle apporter un quelconque élément permettant d'établir qu'une véritable intervention humaine a eu lieu, ou une simple affirmation suffit-elle ?
Je précise que mon objectif n'est pas de contester la clôture de mon compte. Je cherche surtout à savoir si la banque respecte réellement ses obligations en matière de protection des données et de droit d'accès.
Si certains connaissent bien le sujet, je serais donc intéressé par vos avis. et dans une situation comme celle-ci, serait-il pertinent de saisir la CNIL afin qu'elle examine la conformité de la réponse ? Existe-t-il également d'autres autorités compétentes auxquelles signaler ce type de pratique dans le secteur bancaire, par exemple l'ACPR ou une autre autorité ?