Votre demande de crédit est refusée en quelques secondes, sans qu’aucun conseiller ne vous ait parlé. Votre candidature disparaît dans un logiciel de tri et vous recevez un message de rejet automatique. Votre compte sur une plateforme est suspendu du jour au lendemain, sans explication, après un simple courriel généré par un système. Dans chacun de ces cas, la question est la même : une machine a-t-elle statué seule sur votre situation, et pouvez-vous l’obliger à faire réexaminer votre dossier par un être humain ?
La réponse du droit européen est claire dans son principe. Le règlement général sur la protection des données encadre strictement les décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, dès lors qu’elles produisent des effets juridiques ou affectent une personne de manière significative. La Cour de justice de l’Union européenne a jugé en décembre 2023 que le score de crédit établi automatiquement par une société d’information commerciale peut constituer une telle décision, même lorsque le refus final est prononcé par un tiers. En droit français, l’article 47 de la loi du 6 janvier 1978 reprend cette interdiction et impose, pour les décisions administratives individuelles, une mention explicite à peine de nullité ainsi qu’une explication détaillée et intelligible.
Cet article explique d’abord comment reconnaître une décision automatisée interdite en principe et les trois seules exceptions admises, puis comment agir pas à pas : rassembler les preuves, exiger le réexamen humain, saisir la CNIL et, si nécessaire, demander au juge la réparation de votre préjudice.
I. Une décision prise sans intervention humaine est en principe interdite dès qu’elle affecte votre situation
A. Le droit de ne pas subir une décision exclusivement automatisée aux effets juridiques ou significatifs
Le point de départ est le paragraphe 1 de l’article 22 du règlement (UE) 2016/679, qui dispose que Le texte ouvre à chacun le droit de refuser une « décision fondée exclusivement sur un traitement automatisé », y compris le profilage, dès lors qu’elle produit des effets juridiques ou affecte la personne de manière significative. Trois conditions se cumulent donc : une décision, un fondement exclusivement automatisé, et des effets juridiques ou une atteinte significative comparable.
Le considérant 71 du même règlement donne deux exemples qui parlent à tous les lecteurs : Le texte vise notamment le « rejet automatique » d’une demande de crédit en ligne et les pratiques de recrutement en ligne sans aucune intervention humaine. Le profilage entre dans ce cadre dès qu’un traitement automatisé évalue des aspects personnels pour analyser ou prédire le rendement au travail, la situation économique, la santé, les préférences, la fiabilité ou le comportement d’une personne. La CNIL retient une définition directement opérationnelle : La CNIL retient une définition directement opérationnelle : le profilage utilise les données personnelles pour « analyser et de prédire son comportement », par exemple pour déterminer les performances au travail ou la situation financière d’une personne.
L’apport décisif de la jurisprudence européenne porte sur le score de crédit. Dans l’affaire dite SCHUFA, une personne s’était vu refuser un crédit après la communication à la banque d’un score établi automatiquement par SCHUFA Holding AG, société allemande d’information commerciale, à partir de ses données personnelles. Le litige portait sur le refus de l’autorité de protection des données du Land de Hesse d’enjoindre à cette société de faire droit à une demande d’accès et d’effacement. Saisie à titre préjudiciel par le tribunal administratif de Wiesbaden, la Cour de justice, première chambre, a dit pour droit le 7 décembre 2023 dans l’affaire C-634/21 que la Cour a jugé que l’établissement automatisé d’une « valeur de probabilité » de paiement par une société d’informations commerciales constitue une décision individuelle automatisée lorsque le partenaire qui la reçoit fait dépendre de manière déterminante de ce score l’établissement, l’exécution ou la fin d’une relation contractuelle avec la personne concernée.
Cette solution dépasse le seul crédit allemand. Elle signifie qu’un score n’est pas un simple avis technique dès lors que le partenaire qui le reçoit s’y conforme de façon déterminante : le producteur du score devient alors l’auteur d’une décision automatisée au sens de l’article 22. Vous pouvez donc agir sur deux fronts à la fois. Contre l’organisme qui vous a notifié le refus, pour obtenir le réexamen et la communication de la logique. Et contre l’établissement du score lui-même, pour exercer vos droits d’accès et d’effacement sur les données qui ont servi à vous noter, puis contester la note devant la CNIL et le juge. Dans le litige SCHUFA, c’est d’ailleurs le refus de l’autorité de protection des données d’enjoindre à la société de scoring qui était contesté : la Cour a précisé que le droit d’accès de la personne s’étend aux informations sur la logique du score, et que l’effacement peut être exigé lorsque la conservation ne repose sur aucun fondement valable. Cette double action prive l’organisme de l’argument du bouc émissaire, celui qui consiste à renvoyer la personne vers un prestataire lointain en affirmant n’avoir fait que suivre son avis. En pratique, ce raisonnement couvre le score de crédit suivi par la banque, la note de solvabilité transmise à un bailleur ou à un assureur, le score de fiabilité utilisé par une plateforme pour suspendre un compte de vendeur ou de conducteur, et le résultat d’un outil de tri des candidatures repris sans contrôle réel par le recruteur. Restez attentif à la validation dite de façade : lorsqu’un salarié se borne à entériner systématiquement le résultat du système, sans accès réel au dossier et sans pouvoir effectif de s’écarter du score, la décision demeure exclusivement automatisée au sens de l’article 22. Demandez donc qui a examiné votre dossier, à quelle date, avec quelles pièces et dans quelle mesure cette personne pouvait passer outre la recommandation de l’outil. Une réponse qui ne désigne personne ou qui décrit un circuit purement formel confirme le manquement et justifie le réexamen.
À l’inverse, un outil qui se borne à préparer le travail d’un décideur humain, lorsque ce dernier examine réellement le dossier et peut s’écarter de la recommandation, ne constitue pas une décision exclusivement automatisée. Tout l’enjeu probatoire consiste donc à établir si un être humain est intervenu de façon effective ou si sa validation n’était qu’une formalité apposée sur un résultat déjà arrêté.
B. Les trois seules exceptions admises et les garanties qui restent dues dans tous les cas
L’interdiction de principe n’est pas absolue : le paragraphe 2 de l’article 22 écarte son application dans trois hypothèses. La décision automatisée reste possible lorsqu’elle est nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et le responsable du traitement, lorsqu’elle est autorisée par le droit de l’Union ou le droit d’un État membre qui prévoit des mesures appropriées de sauvegarde, ou lorsqu’elle est fondée sur le consentement explicite de la personne concernée. Chacune de ces portes de sortie s’interprète strictement. La nécessité contractuelle ne couvre pas tout traitement utile ou confortable : il faut que la décision automatisée soit indispensable à la fourniture du service demandé. L’autorisation légale doit elle-même organiser des garanties. Quant au consentement, il doit être explicite, c’est-à-dire clairement exprimé pour la décision automatisée elle-même, et il peut être retiré.
Surtout, même lorsqu’une exception s’applique, le règlement impose des garanties minimales dans les cas du contrat nécessaire et du consentement explicite. Le paragraphe 3 de l’article 22 prévoit que Dans les cas du contrat nécessaire et du consentement explicite, le responsable doit garantir au minimum le droit d’« obtenir une intervention humaine », d’« exprimer son point de vue » et de « contester la décision ». Le considérant 71 y ajoute le droit d’obtenir une explication sur la décision issue de cette évaluation. Enfin, le paragraphe 4 verrouille l’usage des données sensibles : les décisions automatisées ne peuvent pas être fondées sur les catégories particulières de données de l’article 9, paragraphe 1, sauf consentement explicite ou motif d’intérêt public important, avec des mesures de sauvegarde adaptées.
Le droit français complète ce dispositif. L’article 47 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés interdit, selon les extraits rappelés par le Conseil d’État, « (…) Aucune décision produisant des effets juridiques à l’égard d’une personne ou l’affectant de manière significative ne peut être prise sur le seul fondement d’un traitement automatisé de données à caractère personnel, y compris le profilage, à l’exception : (…) », avec notamment un régime propre aux décisions administratives individuelles : elles doivent respecter l’article L. 311-3-1 et le livre IV du code des relations entre le public et l’administration, « comportent, à peine de nullité, la mention explicite prévue à l’article L. 311-3-1 du code des relations entre le public et l’administration » et obligent le responsable à maîtriser le traitement algorithmique afin de pouvoir « expliquer, en détail et sous une forme intelligible, à la personne concernée la manière dont le traitement a été mis en œuvre à son égard ».
Concrètement, pour toute décision individuelle prise sur le fondement d’un traitement algorithmique, le code des relations entre le public et l’administration impose une transparence minimale : « Sous réserve de l’application du 2° de l’article L. 311-5 , une décision individuelle prise sur le fondement d’un traitement algorithmique comporte une mention explicite en informant l’intéressé. Les règles définissant ce traitement ainsi que les principales caractéristiques de sa mise en œuvre sont communiquées par l’administration à l’intéressé s’il en fait la demande. » Cette obligation, prévue par un texte en vigueur depuis 2016 et toujours applicable, complète l’article 47 de la loi du 6 janvier 1978, tel que cité par le juge administratif : l’usager doit être averti du recours à l’algorithme et peut exiger la communication des règles et des principales caractéristiques de sa mise en œuvre.
La portée exacte de ces exigences a été précisée par le Conseil d’État dans sa décision du 4 mars 2022, n° 451932, relative au traitement « Affelnet Lycée » qui répartit les élèves entre les lycées. Des parents demandaient l’abrogation de l’arrêté créant ce traitement, en invoquant notamment le défaut d’information sur les critères et l’usage des algorithmes. Le Conseil d’État a rejeté la requête, au motif que l’arrêté se bornait à autoriser la création d’un traitement automatisé de données et que le moyen tiré de la méconnaissance des obligations d’information propres aux décisions individuelles était inopérant contre un tel acte réglementaire. La leçon est double : les garanties de l’article 47 protègent chaque personne visée par une décision individuelle, et c’est au stade de cette décision, non de l’acte général qui crée l’outil, qu’elles doivent être invoquées. Pour le lecteur, cela signifie qu’une administration ou un organisme qui vous oppose un résultat algorithmique sans mention explicite et sans explication intelligible commet un manquement directement contestable devant le juge de l’excès de pouvoir comme devant le juge judiciaire selon l’objet du litige, et que la nullité encourue pour défaut de mention explicite constitue un levier contentieux puissant.
II. Contester pas à pas : preuves, réexamen humain, CNIL et juge
A. Faire constater la décision automatisée et exiger un réexamen par un être humain
La première étape consiste à faire parler le dossier. Plusieurs indices signalent une décision exclusivement automatisée : une réponse négative quasi instantanée après la saisie d’un formulaire en ligne, l’absence totale d’interlocuteur avant la notification, un message type qui mentionne un score, une note ou un « profil », ou encore un refus que le service client se déclare incapable d’expliquer. Dès ce stade, conservez tout : captures d’écran du parcours et des messages, courriels de notification, conditions générales applicables au jour de la décision, relevé du score communiqué le cas échéant, et trace de vos échanges avec le service concerné. Ces pièces serviront à démontrer le caractère automatique du processus et l’absence d’intervention humaine effective.
La deuxième étape consiste à écrire au responsable du traitement pour exercer vos droits. Le règlement vous donne un droit à la transparence : lorsque vos données sont collectées, l’organisme doit vous informer de l’existence de la décision automatisée et du profilage, avec des informations utiles sur la « logique sous-jacente » ainsi que sur l’« importance et les conséquences prévues » du traitement pour la personne concernée. Cette même information peut être exigée au titre du droit d’accès, qui couvre la logique employée et les conséquences envisagées. La CNIL résume vos prérogatives en quatre points : le droit d’être informé qu’une « décision entièrement automatisée » a été prise, de demander la « logique et les critères employés », de « contester la décision » en exprimant votre point de vue, et d’obtenir qu’un être humain « réexamine la décision ». La page dédiée aux professionnels ajoute qu’la page dédiée aux professionnels rappelle que toute personne visée peut obtenir le « réexamen de sa situation » par un être humain, exprimer son point de vue et « obtenir une explication sur la décision prise ».
Concrètement, votre courrier doit donc demander quatre choses : la confirmation qu’une décision automatisée a été prise à votre encontre, la communication de la logique et des critères employés ainsi que de l’importance et des conséquences du traitement pour vous, le réexamen de votre situation par une personne humaine avec la possibilité d’exprimer votre point de vue, et la suspension des effets de la décision pendant ce réexamen lorsque cela est possible. Le responsable du traitement doit vous répondre « dans un délai d’un mois » à compter de la réception de la demande, délai prolongeable de deux mois pour les demandes complexes, et motiver tout refus de donner suite. Rédigez votre demande de façon à verrouiller la suite : rappelez la date et l’heure de la décision, le canal utilisé, le libellé exact du message reçu, la référence du dossier ou du contrat, et listez une à une vos quatre demandes, information sur l’automatisation, communication de la logique et des conséquences, réexamen par un être humain avec possibilité de faire valoir vos observations, et indication du sort réservé à la décision pendant le réexamen. Envoyez-la par un moyen qui prouve la réception, courriel avec accusé ou lettre recommandée, et conservez-en une copie. S’il ne répond pas, répond hors délai ou se contente d’une formule vague sans expliquer la logique employée, ce silence ou cette réponse évasive devient une pièce de votre dossier pour la suite.
Du côté de l’organisme, le règlement impose une discipline préventive dont vous pouvez vous prévaloir dans la discussion : Avant tout traitement susceptible d’engendrer un « risque élevé pour les droits et libertés » des personnes, notamment avec des technologies nouvelles comme le scoring, le responsable doit effectuer une analyse d’impact sur la protection des données. Un système de scoring ou de tri algorithmique déployé sans analyse d’impact, sans information des personnes et sans circuit de réexamen humain cumule les manquements et expose l’organisme à une sanction. Lorsque l’organisme persiste à utiliser vos données malgré vos démarches, les règles applicables au blocage de l’usage et à la saisine de la CNIL décrites dans notre article sur l’opposition au traitement et le retrait du consentement face à un organisme qui continue d’utiliser vos données complètent utilement la présente procédure.
B. Saisir la CNIL, demander au juge d’ordonner et obtenir réparation du préjudice
Si le réexamen amiable échoue, la plainte devant la CNIL constitue la voie naturelle. Le règlement prévoit que Chacun peut adresser une « réclamation auprès d’une autorité de contrôle », en particulier dans l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation, lorsqu’il estime que le traitement de ses données méconnaît le règlement, sans préjudice de tout autre recours. Votre plainte doit être précise : identifiez la décision contestée et sa date, décrivez le parcours automatisé avec vos pièces, rappelez votre demande de réexamen humain et la réponse reçue, et indiquez les manquements visés, notamment le défaut d’information sur la logique, l’absence d’intervention humaine et, pour une décision administrative, l’absence de mention explicite. Joignez vos preuves dans l’ordre chronologique et chiffrez déjà votre préjudice, même de façon provisoire, car la CNIL transmet cette dimension au rapporteur en cas de sanction. La CNIL peut instruire, mettre en demeure l’organisme de se conformer, prononcer des mesures correctrices et infliger des amendes qui doivent être dans chaque cas « effectives, proportionnées et dissuasives. » Une mise en demeure rendue publique ou une sanction pécuniaire pèse ensuite lourd dans la négociation amiable comme devant le juge, qui y voit la confirmation du manquement par l’autorité de contrôle.
La voie juridictionnelle reste ouverte en parallèle et ne suppose pas d’avoir épuisé la procédure devant la CNIL. Le règlement dispose que Chaque personne dispose en parallèle d’un « recours juridictionnel effectif » lorsqu’elle estime que ses droits ont été violés par un traitement non conforme, y compris après avoir saisi l’autorité de contrôle. Devant le juge administratif, le pouvoir d’injonction donne une efficacité directe à ces droits : « Lorsque sa décision implique nécessairement qu’une personne morale de droit public ou un organisme de droit privé chargé de la gestion d’un service public prenne une mesure d’exécution dans un sens déterminé, la juridiction, saisie de conclusions en ce sens, prescrit, par la même décision, cette mesure assortie, le cas échéant, d’un délai d’exécution. » Vous pouvez donc demander au juge d’ordonner la communication des règles du traitement en application de l’article L. 311-3-1 du code des relations entre le public et l’administration, avec un délai d’exécution. Devant le juge, vous pouvez demander qu’il soit ordonné à l’organisme de procéder au réexamen humain de votre dossier, de vous communiquer la logique employée, et de cesser l’usage litigieux du score ou du profil. Pour une décision administrative dépourvue de mention explicite, le recours pour excès de pouvoir peut conduire à l’annulation sur le fondement de l’article 47 de la loi du 6 janvier 1978.
Enfin, le préjudice subi ouvre droit à réparation. Le règlement énonce que Toute victime d’une violation peut obtenir du responsable ou du sous-traitant « réparation du préjudice subi », qu’il soit matériel ou moral. Selon les situations, ce préjudice prend des formes différentes qu’il faut chiffrer : surcoût d’un crédit souscrit ailleurs à un taux supérieur après un refus de crédit injustifié, perte de chance d’obtenir un emploi après un tri algorithmique discriminatoire ou opaque, perte de revenus et de clientèle après la suspension automatisée d’un compte professionnel, temps passé et démarches exposées, et préjudice moral lié à l’opacité et à l’impossibilité de se défendre face à une machine. La solution SCHUFA renforce ici votre position : lorsque le score a déterminé le refus du partenaire, le producteur du score répond de la décision au même titre que celui qui l’a notifiée, ce qui permet d’agir contre le véritable décideur plutôt que contre le seul guichet qui a transmis le refus. Rassemblez devis concurrents, offres d’emploi perdues, relevés de revenus antérieurs et toute pièce établissant le lien entre la décision automatisée et votre perte : le juge n’indemnise que le préjudice prouvé et chiffré.
En résumé, face à un refus de crédit, à une candidature écartée ou à un compte suspendu par un système : vérifiez si la décision repose exclusivement sur un traitement automatisé aux effets significatifs, exigez par écrit l’information sur la logique et le réexamen par un être humain dans le délai d’un mois, puis, en cas d’échec, saisissez la CNIL tout en préparant l’action en justice et la demande de réparation. L’algorithme peut calculer, mais il ne peut pas décider seul à votre place sans garanties, sans explication et sans recours effectif.
Gardez enfin une chronologie précise de chaque étape, car les délais structurent tout le contentieux : date de la décision, date de votre demande de réexamen, date et contenu de la réponse de l’organisme, puis date de la plainte et de l’action en justice. Cette chronologie prouve le dépassement du délai d’un mois, établit la persistance du manquement et permet au juge de mesurer la durée du préjudice indemnisable.
Besoin d’un avis rapide sur votre dossier
Vous faites face à un refus de crédit, à une candidature écartée ou à un compte suspendu après un score ou un traitement automatisé, et l’organisme refuse de faire réexaminer votre dossier par un être humain. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique comment contester la décision, obtenir le réexamen et saisir la CNIL ou le juge. Consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.