Ce qui s'est passé
Une salariée de Poste Italiane, après le refus de sa propre demande de prêt, a trouvé sur une plateforme accessible à certains opérateurs de l'entreprise des informations sur sa situation financière : revenu net et engagements en cours. Sa réclamation a déclenché l'enquête. Par les décisions n° 746 et 747 du 7 octobre 2026, annoncées dans la lettre d'information du 23 octobre, le Garante a sanctionné Poste Italiane de 48 000 euros et Deutsche Bank de 33 000 euros.
Le point central n'est pas la plateforme mais la relation entre les deux sociétés. Poste recueillait les demandes et jouait un rôle d'intermédiaire en choisissant le produit le plus adapté ; Deutsche Bank évaluait seule la solvabilité et décidait d'accorder ou non le prêt. Chacune déterminait donc pour son compte finalités et moyens : pour le Garante, elles agissaient comme responsables autonomes, contrairement à ce que prévoyaient formellement leurs accords.
Les deux manquements
- Poste Italiane n'avait pas correctement informé les demandeurs sur les traitements réalisés lors de la promotion et du placement, notamment sur les destinataires des données et les flux vers la banque.
- Deutsche Bank n'avait pas indiqué correctement dans son information le rôle de Poste Italiane comme destinataire et responsable autonome ; elle doit adapter son information sous six mois.
- Pendant l'instruction, les deux ont effacé les données de la plaignante ; Poste a mis à jour son information et la banque a donné instruction au personnel de limiter les données personnelles et de crédit dans les échanges.
Le Garante a rappelé que l'information doit indiquer de manière claire, complète et compréhensible qui traite les données, pour quelles finalités et à qui elles sont communiquées : la concision ne peut pas aller jusqu'à omettre l'essentiel.
Le contrôle pour les clients qui distribuent ou vendent les produits d'autrui
Agences, intermédiaires, réseaux de vente, comparateurs, points relais : mettez l'accord avec le partenaire à côté de ce qui se passe réellement. Qui choisit le produit ? Qui décide de l'issue ? Qui peut utiliser les données pour son compte ? Si chacun décide seul, il y a deux responsables et un contrat de sous-traitance (art. 28) ne tient pas. Ouvrez ensuite l'information : elle doit dire que les données vont au partenaire, à quel titre et pour quoi faire.
Les rôles ne se choisissent pas en les écrivant dans le contrat : ils découlent de qui détermine finalités et moyens (art. 4, point 7, RGPD). Un contrat qui décrit une relation différente de la réalité ne protège aucune des parties ; il conduit à des informations erronées, exactement ce qui a été sanctionné ici.
Dans le dossier du client, notez pour chaque partenaire commercial le rôle réel (responsable autonome, responsable conjoint, sous-traitant), le document qui l'encadre et le passage de l'information qui le déclare. Dans DPO Workspace, la carte des relations et le registre des traitements permettent de garder les trois ensemble.
Source officielle:Garante per la protezione dei dati personali — Newsletter n. 554 del 23 ottobre 2026Source officielle:Garante per la protezione dei dati personali — provvedimento n. 746 del 7 ottobre 2026 [doc. web 10310707]Source officielle:Garante per la protezione dei dati personali — provvedimento n. 747 del 7 ottobre 2026 [doc. web 10310391]Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
