Une créance, même documentée, n’autorise pas à exposer le débiteur sur Internet.
Par l’arrêt A-3891/2025 du 22 juin 2026, le Tribunal administratif fédéral a rejeté intégralement le recours formé par Inkasso-Team AG, confirmant ainsi la décision rendue par le PFPDT – le Préposé fédéral à la protection des données et à la transparence le 28 avril 2025.
La société publiait en ligne des noms, adresses, informations professionnelles, photographies, enregistrements vocaux ainsi que des données relatives à des procédures civiles et pénales concernant des débiteurs présumés. Dans certains cas, des membres de la famille et d’autres personnes liées étaient également concernés.
L’objectif déclaré était double: localiser les débiteurs grâce aux signalements du public et avertir des tiers potentiellement concernés.
Le Tribunal a toutefois confirmé la violation des principes suivants :
• transparence ;
• limitation des finalités ;
• proportionnalité.
En outre, aucun motif justificatif au sens de l’art. 31 LPD n’a été reconnu: il n’existait ni consentement, ni base légale, ni intérêt privé ou public prépondérant.
Quatre passages de l’arrêt revêtent une importance particulière :
– Une donnée déjà accessible au public ne peut pas être automatiquement réutilisée à une autre fin et dans un nouveau contexte.
– L’efficacité d’un traitement ne démontre pas sa licéité: le fait qu’une publication puisse contribuer à retrouver une personne ne la rend pas pour autant proportionnée.
– Même à l’égard de débiteurs réels, la diffusion en ligne peut s’apparenter à une forme de recherche privée et produire un effet punitif ainsi qu’un effet de «mise au pilori».
– Le responsable du traitement demeure responsable de la licéité du traitement et ne peut pas se justifier en affirmant que l’autorité n’est pas intervenue suffisamment rapidement.
La Loi fédérale sur la protection des données (LPD) autorise, à certaines conditions, le traitement de données visant à vérifier la solvabilité. Il s’agit toutefois d’une situation fondamentalement différente de la publication indiscriminée d’informations personnelles devant un public potentiellement illimité et pour une durée indéterminée.
L’arrêt est entré en force et le site Internet a été désactivé. Une indication importante pour les DPO et les Compliance Officers : dans le cadre du recouvrement de créances, la légitimité de la finalité poursuivie n’implique pas automatiquement la licéité de toutes les moyens utilisés pour l’atteindre.
