Vous est-il déjà arrivé de vous voir refuser un contrat de carte de crédit ou de ne pouvoir passer des commandes sur Internet que si vous acceptiez de payer avant la livraison ? Il est alors probable qu’une société d’informations sur la solvabilité ou de renseignements économiques, par exemple, ait enregistré des données relatives à vos pratiques de paiement et les ait transmises à des tiers.
Aperçu des services qui traitent des données sur les pratiques de paiement
Sociétés d’informations sur la solvabilité et de renseignements économiques
Les sociétés d’informations sur la solvabilité et de renseignements économiques collectent des informations de sources diverses sur les activités économiques, le crédit et la solvabilité des entreprises et des particuliers. Elles enregistrent ces informations dans des fichiers et les transmettent par écrit, par téléphone ou de manière automatisée moyennant finance aux services ou aux personnes qui en font la demande. Pour obtenir ces informations, il faut faire valoir un intérêt digne de protection.
Pour plus de renseignements sur le traitement des données par les sociétés d’informations sur la solvabilité et de renseignements économiques :
L’activité des sociétés d’informations sur la solvabilité et de renseignements économiques
Les sociétés d’informations sur la solvabilité et de renseignements économiques ainsi que les informations qu’elles vendent font partie du quotidien des entreprises. Le traitement des données par ces sociétés est encadré par la loi sur la protection des données (LPD).
Ces sociétés collectent des informations sur les activités économiques, le crédit et la solvabilité des entreprises et des particuliers. Une partie de ces informations sont publiques, d’autres sont obtenues, par exemple, auprès des bureaux de recouvrement.
Les sociétés enregistrent les informations dans des fichiers et les communiquent, moyennant finance, par écrit, par téléphone ou de manière automatisée aux services, aux entreprises ou aux particuliers qui en font la demande. Les données recueillies font régulièrement l’objet d’une évaluation qui permet de leur attribuer un score (valeur numérique). Plus ce score est élevé, plus la personne est solvable.
Si vous êtes enregistré comme non solvable ou si votre score est bas, il se peut que l’on vous refuse par exemple la conclusion d’un contrat ou qu’une entreprise de vente par correspondance ne vous livre qu’à condition que vous régliez par paiement anticipé.
Le traitement des données personnelles relatives aux activités économiques, au crédit et à la solvabilité est autorisé si une des conditions suivantes est remplie :
la personne concernée a donné son consentement ;
il existe un intérêt privé ou public prépondérant, c’est-à-dire que l’intérêt de traiter les données prime celui de la personne concernée ;
une base légale l’autorise.
À l’art. 31, al. 2, LPD, figurent des exemples de cas dans lesquels l’intérêt prépondérant peut primer (la loi emploie le terme de « entrer en considération »). Ainsi les sociétés qui traitent des données sur la solvabilité d’une personne ne peuvent les communiquer à des tiers que si ces derniers en ont besoin pour conclure ou exécuter un contrat avec la personne concernée. Aussi le tiers doit-il prouver son intérêt à obtenir les données (par ex. négociations contractuelles en cours avec la personne concernée). La simple curiosité n’est pas une raison suffisante ! L’intérêt des tiers est examiné par la société de renseignements.
Les sociétés de renseignements n’ont pas le droit de traiter des données sensibles ou de procéder à un profilage qui, en mettant en lien des données permettant de jauger des aspects essentiels de la personnalité, représente un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, sauf si celle-ci a expressément donné son consentement. Celle-ci doit être majeure, et les données ne doivent pas dater de plus de dix ans.
Ainsi, les informations relatives à votre solvabilité peuvent en principe être traitées sans votre consentement et, dans certains cas, être communiquées à des tiers intéressés.
Les sociétés de renseignements doivent observer les limites imposées par la LPD concernant la collecte et la communication de données personnelles. Pour chaque cas, elles doivent non seulement présenter un motif justificatif comme le prévoit l’art. 31 LPD, mais aussi respecter les principes généraux de traitement (art. 6 et suivants, LPD).
Informations sur les principes à observer:
Principe de proportionnalité (art. 6, al. 2, LPD) : Le traitement des données doit être proportionné, c’est-à-dire approprié et nécessaire pour atteindre l’objectif visé. Une société de renseignements ne peut donc traiter que les données pertinentes et indispensables pour fournir des informations sur la solvabilité.
Principes de la bonne foi et de la transparence (art. 6, al. 2 et al. 3, LPD) : Le traitement des données doit être transparent. La personne concernée doit pouvoir reconnaître ce traitement, c’est-à-dire qu’elle doit au moins s’attendre, compte tenu des circonstances, à ce que ses données soient traitées.
Principe de finalité (art. 6, al. 3, LPD) : Le traitement des données doit être en adéquation avec la finalité pour laquelle les données ont été collectées.
Exactitude des données (art. 6, al. 5, LPD) : La société de renseignements doit s’assurer de l’exactitude des données.
Information adéquate (art. 6, al. 6, LPD) : Lorsque le consentement de la personne concernée est requis pour le traitement des données, celui-ci n’est valable que si la personne l’a donné librement, après qu'elle ait été dûment informée.
Sécurité des données (art. 8 LPD) : Les sociétés de renseignements doivent garantir, par des mesures techniques et organisationnelles appropriées, que les personnes non autorisées n’ont pas accès aux données et ne peuvent pas les modifier.
En outre, les sociétés sont tenues de respecter le devoir d’informer lors de la collecte de données personnelles (art. 19, LPD). Le responsable du traitement doit, lors de la collecte des données, communiquer à la personne concernée au moins les informations suivantes :
son identité et ses coordonnées,
la finalité du traitement
et les destinataires ou les catégories de destinataires auxquels les données seront communiquées.
Si les données ne sont pas collectées auprès de la personne concernée, les catégories de données personnelles traitées doivent également être communiquées.
Les sociétés de renseignements ne peuvent collecter que les données qui permettent d’identifier la personne ou qui permettent d’obtenir des informations sur sa solvabilité.
Les données suivantes peuvent être traitées :Prénom, nom, date de naissance, adresse actuelle (rue, code postal et ville), poursuites, faillites, crédits non remboursés, montant du crédit, mensualités, demandes de crédits refusés, etc.
À titre d’exemple, le lieu d’origine d’une personne est une donnée personnelle dont le traitement n’est pas approprié ou nécessaire pour savoir si une personne est solvable. En effet, un potentiel partenaire contractuel n’en a que très rarement connaissance. Cette donnée n’est donc pas utile pour l’identification.
En principe, les sociétés de renseignements ont le droit de traiter uniquement les données relatives à la personne concernée. Il est interdit de mentionner des informations sur d’autres personnes (conjoint, enfants, etc.) sauf si ces informations ont un lien direct avec la solvabilité de la personne concernée.
Les sociétés de renseignements ne peuvent pas traiter des données sensibles (par ex. des données sur des mesures d’aide sociale) ou procéder à un profilage à risque élevé (voir art. 31, al. 2, let. c, LPD) sans avoir obtenu le consentement exprès de la personne concernée.
Droits vis-à-vis des sociétés de renseignements économiques
Les sociétés de renseignements économiques et d’informations sur la solvabilité traitent des informations sur les activités économiques, le crédit et la solvabilité des entreprises et des particuliers. Les personnes concernées disposent de différents droits pour vérifier et garantir la conformité aux règles relatives à la protection des données.
Pour être conformes à la protection des données lorsqu’elles traitent des données, les sociétés de renseignements économiques et d’informations sur la solvabilité doivent faire valoir un motif justificatif au sens de l’art. 31 LPD et respecter les principes du traitement des données. Vous trouverez ici de plus amples informations à ce sujet : lien vers « Activité des sociétés d’informations sur la solvabilité et de renseignements économiques ».
Les personnes concernées ont les droits suivants si elles veulent vérifier et garantir la licéité du traitement des données :
Les sociétés de renseignements se procurent des données personnelles afin de vérifier votre solvabilité, généralement non pas directement auprès de vous, mais auprès de tiers ou à partir de sources accessibles au public.
La LPD révisée donne désormais le droit aux personnes concernées d’être informées de manière adéquate de la collecte de données les concernant. Le responsable du traitement doit alors leur communiquer au moins les informations énumérées à l’art. 19 LPD.
Vous pouvez à tout moment et sans justification exiger d’une société de renseignements qu’elle vous indique dans un délai de 30 jours si des données vous concernant sont traitées et, le cas échéant, lesquelles. Passé ce délai, vous pouvez obtenir ces informations par voie judiciaire en saisissant le juge civil de votre domicile.
Les informations à communiquer sont énumérées à l’art. 25 LPD. Si la société de renseignements évalue votre solvabilité au moyen d’un score, c’est-à-dire d’une valeur numérique calculée sur la base des données collectées à votre sujet, elle doit en principe également vous communiquer la logique sur laquelle repose le calcul du score afin de garantir la transparence du traitement des données. Dans tous les cas, les hypothèses de base de l’algorithme, telles que la quantité et le type des informations utilisées ainsi que leur pondération, doivent être mentionnées.
En tant que personne concernée, vous pouvez exiger que des données personnelles inexactes soient rectifiées, par exemple que des données manquantes soient complétées ou que des données erronées soient supprimées et, le cas échéant, remplacées par de nouvelles données correctes. Si nécessaire, vous pouvez obtenir une rectification par voie judiciaire en intentant une action auprès du juge civil de votre domicile.
Une société de renseignements indiquera toujours à la personne concernée qu’elle a reçu les informations erronées de la personne privée XY ou de l’entreprise XY, à qui il faut donc s’adresser directement ; elle ajoutera qu’elle ne peut donc absolument rien faire puisqu’elle n’agit que sur ordre de XY. Or, comme la société de renseignements et XY traitent tous deux des données en vertu de la LPD, vous pouvez choisir d’agir contre l’un des responsables du traitement ou contre les deux. La LPD dispose que celui qui traite des données personnelles est lui-même responsable du traitement des données.
Demandez par écrit l’effacement des données si vous estimez qu’une société de renseignements traite vos données de manière illicite, par exemple si elle traite des données non nécessaires ou conserve des données trop longtemps. Si elle n’est pas disposée à effacer les données, vous pouvez intenter une action auprès du juge civil de votre domicile.
La violation du devoir d’informer visé à l’art. 19 LPD et du droit d’accès visé à l’art. 25 LPD est punie par l’art. 60 LPD. La poursuite pénale incombe aux cantons. Il s’agit d’une infraction poursuivie sur plainte, c’est-à-dire que c’est vous, en tant que personne lésée, qui devez déposer une plainte pénale (à ne pas confondre avec la dénonciation pénale) auprès de la police ou du ministère public compétent.
Le ZEK est une société à part. Il s’agit en effet d’une association privée qui gère une banque de données sur les personnes souhaitant obtenir un crédit, un leasing ou une carte de crédit, ainsi que sur les obligations et la solvabilité des débiteurs, des détenteurs de cartes de crédit et des preneurs de leasing. Peuvent notamment être admises comme membres de l’association les entreprises qui, à titre professionnel, financent des ventes à crédit, accordent des crédits, concluent des contrats de location et de leasing sur des biens mobiliers, émettent des cartes de crédit ou des cartes de paiement (typiquement, des banques).
La banque de données de la ZEK contient seulement les données qui ont été enregistrées par ses membres. Contrairement à une société de renseignements, il n’y a que les membres de la ZEK qui sont habilités à accéder à la banque de données. La ZEK a défini dans un règlement les données que ses membres peuvent ou doivent traiter.
Centre de renseignements sur le crédit à la consommation (IKO)
L’IKO est une institution créée par des prêteurs agissant par métier en exécution de l’art. 23 de la loi fédérale sur le crédit à la consommation (LCC ; RS 221.214.1). Cette institution traite les données des personnes qui ont fait une demande de crédit à la consommation. Les contrats de leasing, les cartes de crédit et les cartes clients ainsi que les crédits consentis sous la forme d’une avance sur compte sont également soumis à la loi sur le crédit à la consommation dans la mesure où ils liés à une option de crédit (art. 1, al. 2, LCC).
Avant la conclusion d’un crédit à la consommation, la solvabilité du débiteur doit être vérifiée auprès des services de renseignements (art. 28, al. 3, let. c, LCC). L’objectif est d’éviter le surendettement du débiteur (art. 22 LCC). Le prêteur est tenu d’annoncer le crédit au service de renseignements (art. 25 LCC).
Seuls les prêteurs agissant par métier ont accès aux données collectées par le centre de renseignement dans la mesure où ils en ont besoin pour l’exécution des obligations qui leur incombent en vertu de la loi sur le crédit à la consommation (art. 24 LCC). La loi sur le crédit à la consommation et l’ordonnance y relative établissent quelles données relatives aux consommateurs peuvent être traitées.
Les informations relatives à vos pratiques de paiement sont également accessibles aux bureaux de recouvrement. Il s’agit d’entreprises privées qui recouvrent les impayés. À certaines conditions, les bureaux de recouvrement transmettent les informations relatives à leurs activités de recouvrement à des sociétés d’informations sur la solvabilité ou de renseignements économiques. Il arrive même souvent que les services d’information et de recouvrement soient proposés par la même entreprise.
Encaissement
Les offices d’encaissement recouvrent les créances échues de leurs clients et traitent ce faisant des données relatives aux habitudes de paiement. Dans certains cas, ils transmettent ces données à des sociétés de renseignement économiques. Vous trouverez ici des informations sur ce qui est autorisé par la législation sur la protection des données et sur ce que vous pouvez faire en cas de pratique non autorisée.
On entend par encaissement le recouvrement d’une créance échue. Il est souvent confié à ce que l’on appelle des offices d’encaissement, soit des entreprises privées qui recouvrent les créances de leurs clients à l’aide de nombreux instruments et mesures. Lors du traitement des données personnelles, ils doivent respecter les dispositions légales relatives à la protection des données.
Les offices d’encaissement recouvrent des créances au nom du créancier. Le débiteur ne doit alors payer que la créance contractuellement due, les intérêts moratoires réels (en général 5 % à partir de l’échéance, sauf disposition contractuelle contraire) ainsi que les frais de poursuite. La plupart des offices d’encaissement sont membres de l’association Recouvrement Suisse et doivent donc se conformer à son code de conduite.
Lorsqu’ils traitent des données personnelles, les offices d’encaissement doivent notamment respecter les principes de la protection des données énoncés à l’art. 6 LPD. Les données ne peuvent être utilisées que dans un but précis – le recouvrement – et de manière conforme aux principes de la bonne foi et de la proportionnalité. Il y a par exemple violation de ces principes lorsqu’un office d’encaissement signale à une société de renseignements économiques le non-paiement de la créance impayée après un premier rappel.
Les offices d’encaissement peuvent communiquer des créances impayées aux sociétés de renseignements économiques s’il existe un motif justificatif au sens de l’art. 31 LPD. La communication de données personnelles à une société de renseignements économiques est généralement justifiée dans la mesure où celle-ci est autorisée à traiter les données afin d’évaluer la solvabilité de la personne concernée (art. 31, al. 2, let. c, LPD). L’intérêt de la société de renseignements à recevoir les données l’emporte alors sur l’intérêt du débiteur concerné par la remise des données. Vous trouverez de plus amples informations sur l’admissibilité du traitement des données par les sociétés de renseignements économiques sous : « Activité des sociétés d’informations sur la solvabilité et de renseignements économiques »
Les offices d’encaissement ne peuvent donc communiquer à une société de renseignements économiques que les données qui sont appropriées et nécessaires pour en savoir plus sur la solvabilité de la personne concernée (art. 31, al. 2, let. c, LPD). Comme l’office d’encaissement ne peut pas exiger du débiteur une indemnité pour le recouvrement de la créance, le refus de ce dernier de payer cette indemnité, par exemple, ne dit rien sur sa solvabilité. La créance non payée ne peut donc pas être signalée à une société de renseignements économiques.
De même, les offices d’encaissement ne peuvent pas communiquer aux sociétés de renseignements économiques des données sensibles, des profils de la personnalité à risque élevé, des données datant de plus de dix ans ou des données concernant des mineurs (art. 31, al. 2, let. c, LPD).
Les offices d’encaissement doivent être transparents vis-à-vis de leurs débiteurs quant aux conditions dans lesquelles ils communiquent leurs données aux sociétés de renseignements économiques. Ils sont également tenus de s’assurer que les données communiquées sont exactes. Par exemple, les créances impayées ne peuvent être signalées que si elles n’ont effectivement pas été payées.
Afin de vérifier si un office d’encaissement traite vos données conformément à la protection des données, vous disposez d’un droit d’accès. Vous pouvez donc demander à savoir si des données vous concernant sont traitées et, le cas échéant, lesquelles (art. 25 LPD).
Si des données erronées vous concernant sont traitées, vous avez un droit de rectification vis-à-vis de l’office d’encaissement (art. 32, al. 1, LPD). Si les données sont traitées de manière illicite, vous avez le droit de les faire effacer (art. 32, al. 2, let. c, LPD). Les actions visant à protéger votre personnalité sont régies par les dispositions du code civil et peuvent être intentées auprès du tribunal civil de votre domicile ou du siège de la partie défenderesse. Si, par exemple, le risque existe qu’un office d’encaissement transmette vos données à une société de renseignements économiques sans que les conditions soient remplies, vous pouvez, en vue de protéger votre personnalité, intenter une action auprès du tribunal civil pour qu’une communication déterminée de données personnelles soit interdite (art. 32, al. 2, let. b, LPD).
Vous trouverez ici de plus amples informations sur le droit d’accès et les droits dont vous disposez pour vous opposer à un traitement illicite de données : « Droits vis-à-vis des sociétés de renseignements économiques »
Le code de conduite de l’association Recouvrement Suisse fixe les règles du métier. En cas de non-respect de ces règles, vous pouvez vous adresser au médiateur.
Si vous avez des questions concrètes sur la composition de la créance ou sur son remboursement, le mieux est de vous adresser à un service de conseil en matière de dettes.
Le registre des poursuites est un registre public relatif aux rapports juridiques de droit privé. L’accès au registre et les droits des personnes concernées, notamment, sont régis en premier lieu par la loi fédérale sur la poursuite pour dettes et la faillite (LP ; RS 281.1) et non pas par la loi sur la protection des données (art. 2, al. 4, LPD).
Le registre des poursuites rassemble des données sur des personnes privées et des entreprises qui concernent des commandements de payer et des poursuites par voie de saisie, de réalisation de gage ou de faillite. Si une personne fait valoir un intérêt, elle peut consulter le registre et s’en faire délivrer un extrait (art. 8a LP). Vous pouvez ainsi demander un extrait du registre si quelqu’un, avant de conclure un contrat avec vous, veut s’assurer de votre solvabilité. Un extrait du registre des poursuites s’obtient auprès de l’office des poursuites compétent contre paiement d’un émolument. Le droit de regard des tiers s’éteint cinq ans après la clôture de la procédure.
