Décision CRU c/ Deloitte : Une nouvelle pierre à l’édifice de la notion de donnée à caractère personnel

Le contexte - L’affaire soumise au Tribunal prend ses racines dans la procédure de résolution de la banque Banco Popular ouverte par le Conseil de résolution unique (CRU). Le CRU est l’autorité de résolution de l’Union bancaire européenne et assure la résolution ordonnée des banques défaillantes en essayant de réduire au minimum les conséquences pour l’économie réelle et les finances publiques des pays de l’Union européenne participants et d’autres pays.

Dans le cadre de cette résolution, le CRU avait lancé une consultation des actionnaires et créanciers de la Banco Popular afin de déterminer s’ils avaient bénéficié d’un meilleur traitement dans l’hypothèse où la banque aurait fait l’objet d’une procédure normale d’insolvabilité et s’ils devaient donc être dédommagés.

Pour les besoins de cette consultation, le CRU avait invité les actionnaires et créanciers à remplir en premier lieu un formulaire d’inscription en ligne dans le cadre d’une première phase dite d’inscription.

À l’issue de cette première phase et de la vérification des inscriptions par le CRU, ce dernier avait adressé un questionnaire aux actionnaires et créanciers dont l’inscription avait été validée. L’objectif était alors de recueillir leurs commentaires sur leur éventuel dédommagement dans le cadre de la seconde phase dite « de consultation ».

Les commentaires recueillis lors de cette seconde phase avaient été transmis au cabinet Deloitte, en sa qualité d’évaluateur indépendant. Deloitte n’avait eu dans ce cadre accès qu’à ces commentaires, auxquels des codes avaient été attribués par le CRU. Il n’avait en revanche pas eu accès aux noms et prénoms des actionnaires et créanciers ou aux autres informations communiquées par ces derniers dans le cadre de la phase d’inscription pour attester de leur identité et de leur qualité.

Lors de l’ouverture de la phase d’inscription, le CRU avait publié une politique de confidentialité destinée à communiquer aux personnes s’inscrivant les informations sur l’utilisation qui est faite de leurs données à caractère personnel conformément à l’article 15 du règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018.

Ce règlement particulier vise à encadrer les traitements de données à caractère personnel réalisés par les institutions, organes et organismes de l’Union européenne. Les définitions, obligations et droits qu’il contient sont très proches, voire identiques à bien des égards, à celles et ceux prévus par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (dit RGPD).

Notamment et comme à l’article 13 du RGPD, l’article 15 du règlement 2018/1725 prévoit que les...