Transfert indu par une banque française des données d’un client aux USA
5 avril 2019.
Arrêt de la Cour d’appel de Grenoble du 12 mars 2019
Obligation pour la banque d’effacer intégralement toutes les données personnelles de son client relatives à la procédure à l’origine de la transmission erronée
Obligation pour la banque de faire toutes diligences à ses frais auprès des autorités fiscales américaines afin qu’elles procèdent à l’effacement des données du client des déclarations FACTA
Une disposition du code fiscal américain, le Foreign Account Tax Compliance Act (FATCA), oblige les banques des pays tiers ayant signé un accord avec le département du trésor des Etats-Unis de lui communiquer tous les comptes détenus par des citoyens américains.
C’est dans ce contexte que la Banque Rhône-Alpes, pensant que l’un de ses clients, né à Ottawa, relevait de cette procédure de déclaration, a transféré les données de ce dernier aux autorités fiscales américaines.
Le client, né à Ottawa au Canada, ayant eu connaissance de son enregistrement erroné dans le traitement FACTA, demande à la banque française d’effectuer les corrections requises, ce à quoi elle procède à compter de la confirmation du lieu de naissance de l’intéressé.
Or, le client souhaite l’effacement complet de ses données enregistrées dans le fichier FATCA depuis 2005.
Il obtient satisfaction par une ordonnance de référé du tribunal de grande instance de Grenoble du 4 juillet 2018 qui ordonne également à la Banque Rhône Alpes de veiller à ce que les autorités fiscales des Etats-Unis effacent à leur tour les données de l’intéressé de ses déclarations FATCA. La banque fait appel de la décision.
La cour d’appel de Grenoble, dans un arrêt du 12 mars 2019, reconnait le droit fondamental dont dispose l’intéressé d’obtenir l’effacement définitif de toutes les données le concernant du ficher FATCA et confirme en tous points l’obligation faite à la banque :
- d’effacer toutes les données personnelles du client figurant indûment dans un traitement FATCA,
- de faire toutes les diligences à ses frais auprès des autorités fiscales américaines afin qu’elles procèdent à l’effacement des déclarations FATCA de ce dernier.
Cette dernière obligation incombant à tout responsable de traitement à l’origine de la transmission de données personnelles à un tiers, relève des dispositions de l’article 40 de la loi du 6 janvier 1978 dans sa version modifiée au terme duquel, « si une donnée a été transmise à un tiers, le responsable du traitement doit accomplir les diligences nécessaires utiles afin de lui notifier les opérations qu’il a effectuées ». Ce « droit de suite » contribue à garantir l’efficacité et l’effectivité du droit de rectification ou d’effacement des données des personnes concernées.
Odile Jami-Caston, juriste experte, directrice du pôle Data Privacy & RGPD Compliance
Nous contacter