Règlement (UE) 2016/679 et règlement (UE) 2022/2554

DPO externalisé pour les fintechs et les prestataires de paiement

Une fintech supporte deux corps de règles qui tirent en sens inverse : la réglementation financière lui impose d'identifier, de tracer et de conserver ; le règlement (UE) 2016/679 lui impose de collecter le minimum et d'effacer. Ces deux exigences ne sont pas contradictoires, mais leur articulation ne se devine pas : elle se documente traitement par traitement, et c'est ce document que l'autorité de contrôle demande.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Conserver parce que la loi l'impose n'est pas conserver sans limite

Les obligations de vigilance à l'égard de la clientèle imposent de recueillir des éléments d'identification et de les conserver plusieurs années après la fin de la relation d'affaires. Cette obligation constitue, au sens de l'article 6.1 c) du règlement (UE) 2016/679, une base légale solide : le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable est soumis.

Elle ne couvre toutefois que ce qu'elle impose, et rien de plus. Les pièces collectées au titre de la vigilance ne peuvent pas être réutilisées pour enrichir un profil commercial, et les données collectées au-delà de ce que la réglementation exige — par confort d'instruction ou parce que le formulaire les demandait déjà — ne bénéficient pas de cette base légale. Le registre doit donc distinguer le traitement de vigilance du traitement de relation client, y compris lorsqu'ils s'appuient sur la même base technique.

La durée obéit à la même logique : l'échéance fixée par la réglementation financière est un maximum qui s'impose pour les seules données qu'elle vise, non une durée de conservation générale applicable à l'ensemble du dossier client.

Décision automatisée : l'article 22 s'applique à l'octroi

L'article 22.1 du règlement reconnaît à la personne concernée le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative. Le refus automatisé d'un crédit, d'un compte ou d'un plafond de paiement entre dans ce champ ; le considérant 71 cite d'ailleurs expressément le rejet automatique d'une demande de crédit en ligne.

Le paragraphe 2 ouvre trois voies : la nécessité contractuelle, l'autorisation par le droit de l'Union ou d'un État membre, et le consentement explicite. Dans les deux premiers cas, le paragraphe 3 impose des mesures appropriées, dont au minimum le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision. Une intervention humaine qui se borne à valider la sortie du modèle sans pouvoir l'écarter ne satisfait pas cette exigence.

Lorsque le modèle d'octroi relève par ailleurs de l'annexe III du règlement (UE) 2024/1689, l'obligation de transparence prévue par le règlement européen sur l'intelligence artificielle se superpose à celle de l'article 22, sans s'y substituer.

La sous-traitance en cascade est le point faible du modèle

Le modèle d'une fintech repose sur des briques externes : vérification d'identité, agrégation de comptes, scoring, hébergement, outils de relation client. Chacune est un sous-traitant au sens de l'article 4.8 du règlement, et chacune en emploie elle-même d'autres. L'article 28.2 subordonne le recrutement d'un sous-traitant ultérieur à une autorisation écrite, préalable ou générale, du responsable du traitement.

Une autorisation générale n'est pas une renonciation : le paragraphe 2 impose au sous-traitant d'informer le responsable de tout changement prévu, et de lui laisser la possibilité d'émettre des objections. Une clause qui prévoit une simple mise à jour d'une page web, sans notification ni délai d'objection, ne remplit pas cette condition. C'est l'un des écarts les plus régulièrement relevés dans les contrats standard des prestataires du secteur.

DORA : un second régime, avec son propre périmètre

Le règlement (UE) 2022/2554 s'applique aux entités financières qu'il énumère à son article 2, dont les établissements de paiement et les établissements de monnaie électronique. Une fintech agréée en relève donc, et le fait que ses obligations de protection des données soient traitées ne dit rien de sa conformité à DORA, qui porte sur la résilience opérationnelle numérique et non sur les données personnelles.

Les deux textes se rejoignent en un point pratique : le contrat avec le prestataire informatique. Les clauses que l'article 30 du règlement DORA impose pour les services de technologies de l'information et de la communication, et celles que l'article 28.3 du règlement (UE) 2016/679 impose pour la sous-traitance de données, portent sur le même contrat. Les négocier séparément conduit à deux avenants incohérents.

Questions fréquentes

Une fintech doit-elle désigner un délégué à la protection des données ?

L'article 37.1 b) du règlement (UE) 2016/679 impose la désignation lorsque les activités de base exigent un suivi régulier et systématique à grande échelle des personnes concernées. Le suivi des transactions, la détection de fraude et le scoring comportemental entrent dans cette qualification dès lors qu'ils portent sur une base de clientèle d'ampleur. L'analyse doit être conduite et consignée, y compris quand elle conclut à l'absence d'obligation.

Les obligations de lutte contre le blanchiment priment-elles sur le RGPD ?

Elles ne priment pas, elles fournissent une base légale au titre de l'article 6.1 c) du règlement pour les seuls traitements qu'elles imposent. Tout ce qui excède cette obligation — données collectées en surplus, réutilisation commerciale, conservation au-delà de ce qu'exige le texte — reste soumis au droit commun et doit trouver sa propre base légale.

Un refus de crédit automatisé doit-il être expliqué au client ?

L'article 22.3 du règlement impose, lorsque la décision repose sur la nécessité contractuelle ou le consentement explicite, le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision. Les articles 13.2 f) et 14.2 g) imposent en outre d'informer la personne de l'existence d'une décision automatisée et de lui fournir des informations utiles sur la logique sous-jacente, ce qui n'oblige pas à divulguer le modèle lui-même.

Le règlement DORA remplace-t-il les obligations de sécurité du RGPD ?

Non. L'article 32 du règlement (UE) 2016/679 impose des mesures de sécurité au regard du risque pour les droits des personnes ; le règlement (UE) 2022/2554 impose un dispositif de gestion du risque lié aux technologies de l'information visant la continuité de l'activité financière. Les objets protégés diffèrent, et la conformité à l'un ne vaut pas conformité à l'autre, même si les mesures techniques se recoupent largement.

Ce que ce régime déclenche ailleurs

Les briques techniques d'une fintech sont fréquemment opérées depuis des pays tiers : chaque accès distant à des données de clientèle relève du chapitre V du règlement.

Les transferts hors Union européenne

Statut de sous-traitant, clauses de l'article 28, registre du paragraphe 2, gestion des sous-traitants ultérieurs et réponse aux questionnaires de sécurité des clients.

Éditeurs SaaS

Découper le parcours d'achat en traitements distincts : commande, prospection, mesure d'audience, lutte contre la fraude et avis clients, chacun avec sa base légale.

E-commerce

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.