Le niveau du salaire, l'hypothèque ou une visite chez le psychologue : à partir du mois de janvier 2018, des tiers consulteront les données bancaires privées d'un titulaire de compte, à moins que celui-ci ne notifie clairement son opposition à la banque qui pourra dorénavant vendre ses données à d'autres entreprises.

D'après la nouvelle réglementation européenne (la directive 2007/64/CE du Parlement européen et du Conseil du 13 novembre 2007 concernant les services de paiement dans le marché intérieur, modifiant les directives 97/7/CE, 2002/65/CE, 2005/60/CE ainsi que 2006/48/CE et abrogeant la directive 97/5/CE, appelée directive PSD2), les banques seront bientôt obligées de vendre les données de paiement de leurs clients à des tiers si ceux-ci en font la demande et ont obtenu l'agrément nécessaire. Le client doit également donner son accord, chaque fois que des données de paiement doivent être transmises à des tiers. Ces dispositions légales sont assorties d'un certain nombre de conditions : il faut préciser à qui les données sont vendues, quelles données de paiement sont fournies et à quelles fins elles sont vendues. Un consommateur doit à chaque fois pouvoir marquer son refus.

Je suis très sceptique quant à cette mesure. Les expériences du passé nous apprennent que cette autorisation est souvent noyée parmi toute une série de conditions, et que dès lors, le client ne fait pas un choix délibéré. De plus, un titulaire de compte ne se rend pas toujours compte des secrets qu'il/elle divulgue. Les assureurs automobiles seront particulièrement intéressés de savoir que le client a acheté de l'alcool. Les assureurs vie manifesteront un intérêt particulier pour la consommation de tabac ou la prise de certains médicaments. Par ailleurs, toutes ces données peuvent conduire au vol d'identité.

Il semblerait que les banques soient, d'après la nouvelle directive DSP2, elles-mêmes tenues de vendre ces données.

Quant au caractère transversal de la question : les différents gouvernements et maillons de la chaîne de sécurité se sont accordés sur les phénomènes qui doivent être traités en priorité au cours des quatre prochaines années. Ceux-ci sont définis dans la Note-cadre de sécurité intégrale et dans le Plan national de sécurité pour la période 2016-2019 et ont fait l'objet d'un débat lors d'une Conférence interministérielle à laquelle les acteurs de la police et de la justice ont également participé. La criminalité informatique est l'une des grandes priorités établies. Cette question concerne dès lors une compétence régionale transversale, les Régions intervenant surtout dans le volet préventif.

J'aimerais dès lors obtenir une réponse aux questions suivantes :

1) Quel était le point de vue de notre gouvernement sur cette nouvelle directive, et en particulier, quant à la protection du secret bancaire et de la vie privée ? Pouvez-vous me dire, pour ces deux derniers points, qui a défendu quel point de vue et en quel lieu ?

2) Est-il exact que les banques peuvent être obligées de vendre ces données ? Pouvez-vous fournir des explications détaillées ? Pourquoi les banques peuvent-elles être obligées de vendre ces données si elles ne le veulent pas ou si leur politique consiste à protéger les données des clients ? Qui est favorable à cette décision ?

3) Pensez-vous comme moi qu'une banque ne peut mettre des données bancaires à la disposition de tiers en vue d'en tirer des revenus qu'après y avoir été explicitement autorisée par le consommateur, et dès lors pas par le biais d'une adaptation des conditions standard qui sont communiquées lors de l'ouverture d'un compte ? Pouvez-vous détailler votre réponse ? Pensez-vous également que ces dispositions doivent toujours être révocables ? Est-ce le cas ?

4) Dans quelle mesure cette initiative est-elle conciliable avec le secret bancaire ?

5) La vente ou la mise à disposition de ces données ne risque-t-elle pas de conduire à une augmentation du nombre de vols d'identité ?

6) La directive précise-t-elle de façon explicite qui est responsable du vol éventuel de données chez des tiers détenteurs des données bancaires ? Dans l'affirmative, qui est responsable ? Dans la négative, pourquoi ?

7) A-t-on explicitement demandé l'avis de la Commission de la protection de la vie privée à ce sujet ? Dans l'affirmative, que disait cet avis ? Dans la négative, pourquoi ?

1) & 2) Concernant vos deux premières questions, je vous renvoie à mon collègue en charge de l’Économie, la directive 2015/2366 du 25 novembre 2015 concernant les services de paiement dans le marché intérieur (dite directive PSD2) relevant de sa compétence.

3) L’article 94 de la directive PSD2 dispose que :

« 1. (…) La communication aux personnes d’informations sur le traitement des données à caractère personnel et le traitement de ces données à caractère personnel ainsi que tout autre traitement de données à caractère personnel aux fins de la présente directive sont effectués conformément à la directive 95/46/CE et aux règles nationales transposant ladite directive, ainsi qu’au règlement (CE) n^o 45/2001.

2. Les prestataires de services de paiement n’ont accès à des données à caractère personnel nécessaires à l’exécution de leurs services de paiement, ne les traitent et ne les conservent qu’avec le consentement explicite de l’utilisateur de services de paiement ».

La directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données précise à l’article 2, h), que consentement de la personne concernée doit être toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l'objet d'un traitement.

Par ailleurs, le nouveau règlement général sur la protection des données 2016/679 du 27 avril 2016, qui remplacera la directive 95/46 en 2018, clarifie les conditions de consentement, notamment :

– le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant ;

– si le consentement de la personne concernée est donné dans le cadre d'une déclaration écrite qui concerne également d'autres questions, la demande de consentement doit être présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples ;

– la personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement ;

– au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l'exécution d'un contrat, y compris la fourniture d'un service, est subordonnée au consentement au traitement de données à caractère personnel qui n'est pas nécessaire à l'exécution dudit contrat.

Le nouveau règlement général sur la protection des données précise également à l’article 6, § 4, qu’un traitement à une fin autre que celle pour laquelle les données ont été collectées peut avoir lieu si la personne concernée a donné son consentement de la personne concernée ou si le droit de l'Union ou le droit belge l’autorise.

La transmission des données du client par la banque à un tiers ne peut se faire qu’à ces conditions.

4), 5), 6) & 7) Concernant ces questions, je vous renvoie à mon collègue en charge de l’Économie, la directive 2015/2366 du 25 novembre 2015 concernant les services de paiement dans le marché intérieur (dite directive PSD2) relevant de sa compétence.