Aller au contenu principal
Quel logiciel RGPD

Que faire pour une décision entièrement automatisée ?

Pour qui : Votre équipe utilise un score, un tri de candidatures ou une règle qui refuse automatiquement. Vous voulez savoir si l’article 22 du RGPD vous vise, et ce qu’il faut prévoir si une personne conteste.

Commencez par trois questions : y a-t-il une décision à l’égard d’une personne ? Est-elle fondée exclusivement sur un traitement automatisé ? Produit-elle un effet juridique ou un effet important similaire ? Si les trois réponses sont oui, l’article 22 s’applique : la décision n’est permise que sur l’une de ses exceptions, avec des garanties.

Prévoyez alors qui reprend le dossier et ce que vous expliquez. Un humain de façade ne suffit pas. Selon les lignes directrices européennes, le contrôle doit être significatif et confié à une personne qui peut modifier la décision. Cette page traite de ce droit ; l’inventaire de vos outils d’IA relève d’un autre sujet.

Notre avis

Écrivez une fiche d’une page par décision automatisée : l’effet sur la personne, qui peut reprendre la décision et avec quels moyens, l’exception retenue. Si vous ne pouvez pas nommer la personne qui reprend, considérez qu’aucun humain ne décide.

Pourquoi

  • Les lignes directrices exigent un contrôle significatif, confié à une personne qui a l’autorité et la compétence pour modifier la décision.
  • La Cour de justice a considéré qu’un score, s’il joue un rôle déterminant, est une décision automatisée : un valideur placé en bout de chaîne ne règle pas tout.
  • La loi française ajoute des conditions propres, notamment pour les décisions administratives individuelles.

Ce qui change le choix

Un humain qui examine d’autres éléments et change régulièrement le résultat : vous sortez du cas exclusivement automatisé. Une validation systématique du score : vous y restez, même avec une signature.

L’ordre à suivre

  1. Effet faible : l’article 22 ne s’applique pas, le reste du RGPD oui.
  2. Une personne peut réellement changer le résultat et le fait : pas de décision exclusivement automatisée, à documenter.
  3. Effet important sans contrôle réel : exception à établir, reprise humaine et explication à organiser, analyse d’impact à vérifier.

Quatre cas à passer au test

Ces situations sont fictives et servent à raisonner. Une réponse exacte dépend des faits. Lignes directrices et Cour de justice donnent les repères.

Le test appliqué, exemples fictifs
SituationExclusivement automatisée ?Effet important ?Notre lecture
Un outil écarte des candidatures avant toute lectureOui pour les candidatures écartéesOui : possibilité d’emploi perdueArticle 22 à examiner. Les lignes directrices acceptent ce cas pour des dizaines de milliers de candidatures, si la nécessité se démontre.
Un score de crédit est suivi presque toujours par le conseillerOui si le conseiller n’a aucune influence réelleOui : situation financièreLe score lui-même peut être une décision, dès lors qu’il joue un rôle déterminant.
Un score aide un gestionnaire qui regarde d’autres pièces et s’en écarteNonOuiPas de décision exclusivement automatisée. Notez le stade de l’intervention.
Une publicité adaptée à un profil simpleOuiEn général nonArticle 22 écarté dans de nombreux cas typiques, sauf profilage intrusif ou personne vulnérable.

Le contrôle humain qui compte

Les lignes directrices de 2018 exigent que le contrôle ne soit pas un simple geste symbolique. La personne doit avoir l’autorité et la compétence pour modifier la décision et prendre en compte toutes les données pertinentes. Un collaborateur qui applique systématiquement les profils générés, sans influence réelle sur le résultat, ne suffit pas.

Quelques vérifications simples, proposées par nous : combien de décisions ont été changées par un humain sur les trois derniers mois ? Votre reviseur voit-il d’autres pièces que le score ? A-t-il le droit et le temps de s’en écarter ? Si la réponse à la première question est zéro, regardez le processus de près. Ce repère n’établit rien à lui seul.

Si l’article 22 s’applique : quatre choses à préparer

Répondez à une contestation comme à une demande de droits, dans le délai de l’article 12, et gardez la trace de la reprise.

  1. Retenez une exception et écrivez-la. Nécessité pour un contrat, autorisation par le droit de l’Union ou national avec garanties, ou consentement explicite. La nécessité se démontre : un moyen moins intrusif et efficace l’exclut, selon les lignes directrices.
  2. Nommez qui reprend la décision. Pour les cas du contrat et du consentement, l’article 22 impose au moins le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester.
  3. Préparez l’explication. L’article 15 exige des informations utiles sur la logique sous-jacente, l’importance et les conséquences. Les lignes directrices n’exigent pas forcément de divulguer l’algorithme. La CNIL veut que la personne comprenne les raisons de la décision.
  4. Vérifiez l’analyse d’impact et les données sensibles. L’article 35 vise l’évaluation systématique et approfondie fondant de telles décisions. L’article 22 restreint aussi les décisions fondées sur des données sensibles.

Ce qu’ajoute la loi française

L’article 47 de la loi Informatique et Libertés, lu dans le texte publié par la CNIL, reprend l’interdiction et renvoie aux cas a et c de l’article 22. Il impose alors de communiquer à la personne qui le demande les règles définissant le traitement et ses principales caractéristiques, hors secrets protégés. Pour une administration, il pose d’autres conditions : mention explicite dans la décision à peine de nullité, maîtrise de l’algorithme et explication détaillée. Aucun recours administratif ne peut être tranché sur ce seul fondement. Une collectivité doit lire ce texte avec soin.

Le projet européen et le rôle d’un outil

Le projet Digital Omnibus touche l’article 22. La Commission reformulait l’article ; le mandat du Conseil du 21 octobre 2026 rétablit la forme d’un droit de la personne. Le texte n’est pas adopté au 5 novembre 2026 : appliquez l’article actuel.

Un logiciel de gouvernance peut documenter ce test et ranger la fiche. Il ne dira pas si votre contrôle humain est réel. Ajoutez une colonne au registre, comme le suggère la CNIL pour l’existence d’une décision automatisée. Regardez plutôt votre processus de décision qu’un nouveau module.

Limites de cette page

Le communiqué de presse de la Cour a été lu sans l’arrêt complet. Les lignes directrices datent de 2018, et un arrêt ou une doctrine plus récents peuvent préciser ces repères. Les règles sectorielles, en matière de crédit ou de santé notamment, ne sont pas couvertes. Si votre décision touche l’emploi ou le crédit, faites relire l’analyse.

Prochaine action

Listez vos décisions automatisées et, pour chacune, écrivez qui peut la reprendre et avec quels éléments. Si un humain décide déjà, gardez une trace des cas où il s’écarte du résultat. Si la décision touche l’emploi ou le crédit, faites relire l’exception retenue.

Preuves et sources

Lu le 5 novembre 2026 : les articles 13, 15, 22 et 35 du RGPD dans le texte publié par la CNIL ; sa page sur le profilage, datée du 29 mai 2018 ; les lignes directrices WP251 rév.01 adoptées le 6 février 2018 ; le communiqué de la Cour de justice du 7 décembre 2023 sur l’affaire C-634/21 ; l’article 47 de la loi Informatique et Libertés dans le texte publié par la CNIL ; le mandat du Conseil 14756/26.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 22 du RGPD donne à la personne le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire, sauf décision nécessaire à un contrat, autorisée par le droit avec garanties, ou fondée sur le consentement explicite.

    Portée : Article 22, paragraphes 1 et 2.

    Réserve : Texte reproduit par la CNIL.

  • Fait lu. L’article 22 impose, pour les exceptions du contrat et du consentement, des mesures appropriées, au moins le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision, et limite les décisions fondées sur les données sensibles de l’article 9.

    Portée : Article 22, paragraphes 3 et 4.

    Réserve : Texte reproduit par la CNIL.

  • Déclaration de l’éditeur. Les lignes directrices WP251 rév.01 indiquent que tout contrôle de la décision doit être significatif et ne pas constituer un simple geste symbolique, qu’il doit être effectué par une personne ayant l’autorité et la compétence pour modifier la décision et qu’appliquer systématiquement des profils générés sans influence réelle reste une décision exclusivement automatisée.

    Portée : Lignes directrices adoptées le 3 octobre 2017, révisées le 6 février 2018.

    Réserve : Doctrine qui précède l’arrêt de 2023.

  • Fait lu. La Cour de justice de l’Union européenne a jugé le 7 décembre 2023, selon son communiqué, que le « scoring » doit être considéré comme une décision individuelle automatisée en principe interdite pour autant que les clients de l’organisme lui accordent un rôle déterminant dans l’octroi de crédits.

    Portée : Affaire C-634/21, communiqué de presse n° 186/23.

    Réserve : Arrêt complet non lu. Le tribunal national devait examiner l’existence d’une exception en droit allemand.

  • Déclaration de l’éditeur. Les lignes directrices WP251 rév.01 citent comme effets potentiellement significatifs les décisions touchant la situation financière, l’accès aux soins, une possibilité d’emploi ou l’accès à l’éducation, et indiquent que la publicité ciblée sur un profil simple n’y atteint pas dans de nombreux cas typiques, sauf circonstances comme un profilage intrusif ou une vulnérabilité connue.

    Portée : Chapitre sur l’article 22, section B.

    Réserve : Liste indicative.

  • Déclaration de l’éditeur. Les lignes directrices WP251 rév.01 indiquent que le responsable doit démontrer la nécessité d’un traitement fondé sur le contrat et donnent l’exemple d’une entreprise recevant des dizaines de milliers de candidatures, pour laquelle une décision automatisée peut s’avérer nécessaire pour établir une liste restreinte.

    Portée : Chapitre sur l’article 22, exception du contrat.

    Réserve : Le projet Digital Omnibus envisage de modifier ce raisonnement ; il n’est pas adopté.

  • Fait lu. L’article 15 du RGPD prévoit, en cas de décision relevant de l’article 22, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues du traitement, et la CNIL demande des informations suffisamment complètes pour que la personne comprenne les raisons de la décision ; les lignes directrices n’exigent pas nécessairement la divulgation de l’algorithme.

    Portée : Article 15, paragraphe 1, h ; fiche CNIL du 13 juin 2017 ; WP251.

    Réserve : Texte reproduit par la CNIL. La jurisprudence plus récente n’a pas été lue.

  • Fait lu. L’article 47 de la loi Informatique et Libertés renvoie aux cas a et c de l’article 22, sous condition de communiquer à la demande de la personne les règles définissant le traitement et ses principales caractéristiques hors secrets protégés, encadre les décisions administratives individuelles, dont la mention explicite à peine de nullité, et exclut qu’un recours administratif soit tranché sur le seul fondement d’un traitement automatisé.

    Portée : Texte publié par la CNIL, page datée du 15 novembre 2024.

    Réserve : Légifrance inaccessible à nos lectures : seul Légifrance fait foi, selon la CNIL.

  • Fait lu. L’article 35 du RGPD exige une analyse d’impact notamment pour l’évaluation systématique et approfondie d’aspects personnels, fondée sur un traitement automatisé, sur la base de laquelle sont prises des décisions produisant des effets juridiques ou affectant une personne de manière significative.

    Portée : Article 35, paragraphe 3, a.

    Réserve : Texte reproduit par la CNIL.

  • Fait lu. Le projet Digital Omnibus n’est pas adopté au 5 novembre 2026 ; la Commission y reformulait l’article 22, et le mandat du Conseil rétablit la forme d’un droit de la personne.

    Portée : PROJET, procédure 2025/0360(COD), mandat du 21 octobre 2026.

    Réserve : Position du Parlement non établie, marques de suppression lues sur le document rendu.

  • Déclaration de l’éditeur. La CNIL propose d’ajouter au registre l’existence ou non d’une décision automatisée, parmi les informations utiles pour informer les personnes.

    Portée : Bonnes pratiques de la page sur le registre, 13 avril 2018.

    Réserve : Recommandation.

  • Notre méthode. La fiche d’une page, le test en trois questions et le comptage des décisions modifiées par un humain sont des méthodes proposées par cette page, et les quatre cas sont fictifs.

    Portée : Décision automatisée.

    Réserve : Le comptage donne un indice, pas une preuve de contrôle réel.

    Daté du 5 novembre 2026.