En une phrase. L’article 22 du RGPD protège une personne contre une décision fondée exclusivement sur un traitement automatisé, y compris un profilage, qui produit des effets juridiques ou l’affecte de façon similaire et significative. Trois exceptions encadrées existent : nécessité pour un contrat, autorisation par le droit applicable avec garanties, ou consentement explicite. Une analyse doit qualifier la décision et ses effets avant de choisir une exception ; le simple emploi d’une IA ne déclenche pas automatiquement l’article 22.
Un score, une recommandation et une décision ne jouent pas le même rôle. L’outil peut seulement aider un agent, ou déterminer en pratique un refus de prêt, d’emploi ou de prestation. La CNIL présente la distinction entre profilage et décision entièrement automatisée. Le texte de l’article 22 publié par la CNIL fournit les trois exceptions et les garanties à vérifier.
Points clés
- Deux critères de champ se cumulent : décision exclusivement automatisée et effet juridique ou significatif comparable.
- Une intervention humaine réelle, avant la décision, peut sortir le processus du champ « exclusivement automatisé » ; une validation de pure forme ne suffit pas.
- La décision automatisée d’un fournisseur de score peut elle-même relever de l’article 22 lorsque le client s’appuie de manière déterminante sur ce score : c’est l’apport de SCHUFA.
- Les droits minimaux d’intervention humaine, d’expression du point de vue et de contestation sont expressément prévus au §3 pour les exceptions contrat et consentement explicite ; l’exception légale doit comporter ses propres garanties appropriées.
- Information, accès, base juridique, AIPD et règles sectorielles continuent de s’appliquer selon les faits.
1. Tester le champ de l’article 22 en trois questions
Y a-t-il une décision sur une personne ? Une prédiction statistique utilisée seulement pour planifier des ressources n’est pas nécessairement une décision individuelle. À l’inverse, un score transmis à une banque peut jouer un rôle décisif dans l’octroi d’un crédit. Cartographier qui produit le score, qui fixe le seuil, qui reçoit le résultat et qui notifie la personne. Ne pas confondre le nom commercial du système avec son usage réel.
La décision repose-t-elle exclusivement sur un traitement automatisé ? Une règle « si score inférieur à X, refus » suivie d’une lettre générée automatiquement en est un cas clair. Un agent qui examine d’autres éléments pertinents, peut remettre en cause le résultat et le fait effectivement peut apporter une intervention humaine réelle. Décrire cette possibilité et conserver les traces des réexamens ; le seul fait qu’un humain clique sur « confirmer » ne démontre pas une appréciation indépendante. Les lignes directrices du G29 reprises par la CNIL détaillent cette distinction.
L’effet est-il juridique ou significatif de façon similaire ? Refuser un crédit, fermer un accès à une prestation ou écarter automatiquement une candidature peut affecter fortement une personne. Une simple suggestion de film ou un ordre de produits aura souvent un effet bien moindre. Mais le contexte importe : une recommandation apparemment neutre peut devenir déterminante si elle commande l’accès réel à une opportunité importante. Le volume d’utilisateurs, la répétition et la vulnérabilité des personnes éclairent cette appréciation sans remplacer l’examen individuel.
Si les deux critères de champ sont réunis, vérifier une exception. L’absence d’exception n’est pas un troisième critère de champ : c’est une raison pour laquelle la décision ne peut en principe pas être pratiquée sous cette forme. Cette distinction aide à éviter un raisonnement circulaire où l’on déclare qu’un système est « hors article 22 » simplement parce qu’un formulaire de consentement existe.
2. Ce que SCHUFA change pour les scores fournis à un tiers
Dans l’arrêt SCHUFA, C-634/21, du 7 décembre 2023, la CJUE a examiné le calcul automatisé, par une agence, d’une valeur de probabilité sur la capacité à honorer des engagements de paiement. Lorsque l’établissement tiers s’appuie de manière déterminante sur cette valeur pour établir, exécuter ou mettre fin à une relation contractuelle, le calcul peut constituer lui-même une décision individuelle automatisée au sens de l’article 22. La séparation formelle entre « fournisseur du score » et « banque décideuse » ne suffit donc pas à écarter la règle.
L’arrêt n’affirme pas que tout score est interdit, ni que tout score utilisé par un humain est forcément une décision exclusivement automatisée. Il demande de regarder l’influence réelle du résultat. Un fournisseur devrait connaître les usages prévisibles de son score ; le client doit expliquer le poids du score dans sa décision et les possibilités de réexamen. Des contrats ou interfaces qui qualifient le score de simple « aide » ne remplacent pas cette preuve opérationnelle.
Exemple hypothétique : un assureur reçoit un indice de risque et refuse automatiquement toute demande sous un seuil. Le fait que le fournisseur du score n’envoie pas lui-même la lettre de refus ne règle pas la qualification. Si, au contraire, un agent examine le dossier complet, peut approuver malgré le score et utilise effectivement cette faculté, l’analyse de l’automatisation peut être différente. Documenter le seuil, les consignes de l’agent, les cas renversés et les effets sur les personnes.
3. Trois exceptions strictes, sans confusion avec la base juridique
L’article 22 §2 a) permet la décision si elle est nécessaire à la conclusion ou à l’exécution d’un contrat avec la personne. La commodité, la rapidité ou une réduction de coût ne prouvent pas à elles seules cette nécessité. Examiner s’il existe un moyen moins intrusif, notamment une revue humaine viable, et pourquoi la décision automatisée est requise pour le service contractuel en cause.
Le §2 b) vise une décision autorisée par le droit de l’Union ou d’un État membre qui prévoit aussi des mesures appropriées pour protéger les droits, libertés et intérêts légitimes. Une politique interne, des conditions générales ou le contrat du fournisseur ne sont pas une telle autorisation. Identifier le texte, son champ, les catégories de personnes et les garanties qu’il prévoit. Les décisions administratives peuvent en outre être soumises à des règles nationales spécifiques.
Le §2 c) exige un consentement explicite de la personne. Les conditions de l’article 7 restent applicables : choix libre, information claire, preuve et retrait facile. Le consentement risque d’être fragile si refuser la décision automatisée empêche d’accéder à un service sans justification. Une case supplémentaire ne répare pas un déséquilibre réel.
Une exception de l’article 22 n’est pas, à elle seule, la base juridique de toutes les opérations sur les données. Il faut aussi identifier une base au titre de l’article 6, et, si des données sensibles sont utilisées, une condition de l’article 9. Les bases légales du RGPD et l’exception de l’article 22 répondent à des questions distinctes ; les documenter côte à côte.
4. Mettre en œuvre les garanties selon l’exception invoquée
Pour les exceptions de contrat et de consentement explicite, le §3 impose des mesures appropriées comprenant au moins la possibilité d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision. Le canal doit permettre à une personne compétente de revoir les faits, de comprendre le résultat et de le modifier. Une boîte de réception sans personnel formé ou sans accès aux données ayant servi à décider n’est pas une garantie efficace.
Pour l’exception prévue par la loi, le §2 b) requiert que le texte prévoie des mesures appropriées. Les trois garanties du §3 ne sont pas formulées dans le RGPD comme une liste automatique pour cette exception ; il faut lire le régime légal concerné et prévoir des voies de recours effectives. Le §4 ajoute des exigences lorsqu’une décision se fonde sur des catégories particulières de données, quel que soit le cas du §2.
Prévoir un processus de contestation avant le lancement : point de contact visible, réception et accusé de la demande, accès du réviseur aux informations pertinentes, possibilité de corriger une donnée erronée, décision motivée et suivi du résultat. Examiner aussi si la décision doit être suspendue pendant l’examen selon les faits ou une règle sectorielle. Le responsable doit pouvoir montrer que la voie de recours fonctionne en pratique, pas seulement la mentionner dans une politique de confidentialité.
Exemple hypothétique : une plateforme refuse automatiquement une candidature à une formation sur la base d’un score. Les questions de protection des données dans les ressources humaines deviennent également pertinentes si le dispositif sert au recrutement. Une personne signale une expérience non reconnue. Le réviseur lit les pièces, peut corriger le dossier et renverser le refus ; la plateforme trace l’issue et utilise le cas pour vérifier si le même défaut touche d’autres candidats. Un message automatique « votre demande a été réexaminée » sans étude des pièces ne remplit pas ce rôle.
5. Données sensibles : le filtre supplémentaire du §4
Une décision visée au §2 ne peut être fondée sur des catégories particulières de données de l’article 9 §1 que si l’article 9 §2 a) (consentement explicite) ou g) (motif d’intérêt public important fondé sur le droit applicable) s’applique, et si des mesures appropriées protègent les droits, libertés et intérêts légitimes. Vérifier séparément les conditions du §2 et celles du §4 ; l’une ne dispense pas de l’autre. Les traitements de santé illustrent un contexte où cette qualification et les garanties méritent une attention particulière.
Des variables apparemment ordinaires peuvent révéler indirectement une caractéristique sensible. Une adresse, un historique ou un comportement peuvent jouer le rôle d’un substitut de données de santé ou d’opinion dans un modèle. Examiner les variables réellement utilisées, leur origine et ce que le résultat permet d’inférer. Écarter les données inutiles, puis tester les effets différenciés lorsque le contexte le justifie. Ces vérifications ne se résument pas à supprimer une colonne intitulée « santé ».
6. Informer et donner une explication utile
Les articles 13 §2 f) et 14 §2 g) prévoient, dans les cas visés, l’information sur l’existence d’une décision automatisée, y compris le profilage, ainsi que des informations utiles concernant la logique sous-jacente, l’importance et les conséquences envisagées pour la personne. L’article 15 §1 h) prévoit une information analogue au titre du droit d’accès. Expliquer les principales catégories de données, le rôle du score, les facteurs déterminants, les conséquences possibles et la voie de contestation dans une langue compréhensible.
L’arrêt Dun & Bradstreet Austria, C-203/22, du 27 février 2025 précise l’exigence d’informations utiles au titre de l’article 15. Il ne commande pas la remise brute de tout le code source ; l’explication doit permettre de comprendre la procédure et de contester le résultat. Si le responsable estime que les informations utiles comprennent des données de tiers protégées ou des secrets d’affaires, il doit les soumettre à l’autorité de contrôle ou à la juridiction compétente. Celle-ci met en balance les droits en cause et détermine l’étendue de l’accès : le secret allégué n’autorise pas un refus automatique.
Dans l’exemple hypothétique de crédit, « un algorithme a calculé votre score » est trop pauvre. Indiquer que des retards de paiement récents et un niveau d’endettement déclaré ont pesé, comment une donnée erronée peut être rectifiée, et comment demander un réexamen humain serait plus utile. Les intérêts de tiers ou la protection contre la fraude peuvent limiter certains détails, après l’examen approprié ; ils ne suppriment pas par principe le droit à une explication utile.
7. AIPD, AI Act et dossier de décision
L’article 35 §3 a) cite notamment l’évaluation systématique et approfondie d’aspects personnels fondée sur un traitement automatisé, y compris le profilage, sur la base de laquelle sont prises des décisions produisant des effets juridiques ou affectant de manière significative similaire la personne. Une telle situation appelle une AIPD ; d’autres traitements peuvent aussi en requérir une après examen du risque élevé et des listes de l’autorité. Le besoin d’AIPD se décide selon le traitement précis, son périmètre et les éventuelles exceptions applicables.
Le règlement européen sur l’IA peut ajouter des obligations selon la qualification du système, le rôle de l’organisation et les dispositions entrées en application. Il ne remplace pas le RGPD et ne classe pas automatiquement toute décision de l’article 22 comme système à haut risque. La qualification AI Act doit être menée séparément ; un audit RGPD permet de documenter en parallèle les obligations de données personnelles. Le calendrier applicable dépend des dispositions et du système concernés.
Conserver une fiche par usage : finalité, données et fournisseurs, schéma du parcours de décision, seuils, effet sur les personnes, degré réel d’intervention humaine, exception de l’article 22 si nécessaire, base juridique, garanties, information remise et résultats des essais. Revoir cette fiche après un changement de modèle, de seuil, de population ou d’usage du score. La preuve la plus utile est souvent un dossier de cas montrant comment une décision a été contestée et réellement réexaminée.
FAQ
Un algorithme de recommandation relève-t-il toujours de l’article 22 ?
Non. Il faut une décision exclusivement automatisée avec effet juridique ou significatif comparable. Examiner l’effet concret de la recommandation et la place d’une éventuelle décision humaine.
Le score d’un fournisseur peut-il être concerné ?
Oui, selon SCHUFA, si son client s’appuie de manière déterminante sur ce score pour décider d’une relation contractuelle. L’usage réel compte davantage que l’étiquette « aide à la décision ».
Une signature de l’agent suffit-elle à introduire un humain ?
Non. L’agent doit pouvoir et savoir apprécier indépendamment les éléments, puis modifier le résultat. Conserver la procédure et des exemples de son application.
Faut-il révéler le code source ?
Le RGPD demande des informations utiles sur la logique et les conséquences, notamment dans le cadre du droit d’accès. Une explication compréhensible est nécessaire ; la remise intégrale du code n’est pas une règle générale.