Votre demande de crédit vient d’être refusée, sans explication ou au motif laconique que votre « score » ne permet pas l’octroi du prêt. Derrière ce refus se cache souvent un traitement automatisé : vos données financières sont injectées dans un algorithme qui calcule une note de solvabilité, et la décision suit cette note. Bonne ou mauvaise nouvelle ? Il n’existe pas de droit au crédit : la banque reste libre de prêter ou non. Mais dès lors que le refus repose sur un score produit par une machine, le règlement général sur la protection des données vous donne des droits précis : savoir qu’une décision automatisée a été prise, comprendre la logique suivie, exiger l’intervention d’une personne, faire corriger des données fausses et, en cas de violation, obtenir réparation. Cet article explique comment distinguer un refus commercial classique d’un refus fondé sur un score automatisé, puis quelles démarches engager, dans quel ordre, avec quels textes et devant quelle autorité.
I. Comprendre sur quoi repose vraiment le refus de la banque
Tout dossier commence par une identification rigoureuse : quel traitement a produit le refus, qui en est responsable et sur quelles données il s’appuie. Sans cette clarification, les recours partent dans la mauvaise direction.
A. Trois causes de refus admises, un seul principe : la banque n’a pas à se justifier
La Commission nationale de l’informatique et des libertés décrit trois causes possibles au refus d’un crédit. Première cause : l’établissement juge votre dossier trop risqué au regard de ses propres critères — revenus insuffisants ou irréguliers, charges trop lourdes, absence de caution ou de coemprunteur. Pour cette appréciation, il utilise les informations dont il dispose : âge, situation matrimoniale et professionnelle, revenus et charges, fonctionnement de votre compte. Deuxième cause : vous avez déposé plusieurs demandes auprès d’établissements du même groupe en moins de six mois, et l’établissement conserve les informations de la première demande pendant six mois pour traiter les suivantes. Troisième cause : vous êtes inscrit dans un fichier d’incidents de paiement, national ou interne à l’établissement. Ces constats sont rappelés sur la page de la CNIL consacrée au refus de crédit, qui fixe le cadre : il n’existe pas de droit au crédit et les établissements ne sont, en principe, pas tenus de motiver leur refus. La parenthèse qui suit, dans le texte de la CNIL, vise l’inscription au fichier national des incidents de remboursement des crédits aux particuliers, le FICP : quand le refus est lié à cette inscription, l’emprunteur doit en être informé.
Le FICP mérite une attention particulière parce qu’il pèse lourd dans les refus. L’article L751-1 du code de la consommation dispose : « Un fichier national recense les informations sur les incidents de paiement caractérisés liés aux crédits accordés aux personnes physiques pour des besoins non professionnels. Ce fichier est géré par la Banque de France, laquelle est seule habilitée à centraliser ces informations. Il est soumis à la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. » L’article L751-2 du même code précise que ce fichier a « pour finalité de fournir aux établissements de crédit » un « élément d’appréciation de la solvabilité » des emprunteurs, et l’article L751-6 renvoie à un arrêté pris après avis de la CNIL le soin de fixer les modalités de collecte, d’enregistrement, de conservation et de consultation des informations. La Banque de France précise ce qu’est un incident caractérisé : pour un crédit à échéances mensuelles, un retard égal au montant des deux dernières échéances dues ; pour un découvert, une somme d’au moins 500 euros restant due soixante jours après une mise en demeure. Dans tous les cas, l’établissement doit vous avertir et vous laisser trente jours pour régulariser avant l’inscription. La durée d’inscription est de cinq ans maximum, et l’article L752-1 du même code ajoute : « Elles ne peuvent en tout état de cause être conservées dans le fichier pendant plus de cinq ans à compter de la date d’enregistrement par la Banque de France de l’incident ayant entraîné la déclaration. » Une fois les sommes dues intégralement payées, les informations sont radiées dès réception de la déclaration de paiement par l’établissement à l’origine de l’inscription. Retenez deux nuances que la Banque de France souligne : l’inscription au FICP n’interdit pas, à elle seule, l’octroi d’un nouveau crédit, mais les établissements consultent systématiquement le fichier avant de décider. Le détail figure sur la page de la Banque de France dédiée au FICP.
À côté du FICP, les établissements utilisent leurs propres historiques : incidents de remboursement sur un précédent crédit, fonctionnement du compte, demandes antérieures. La CNIL recommande de ne pas exploiter ces incidents internes au-delà de vingt-quatre mois, sauf circonstances particulières, et exige que vous soyez informé de cette conservation et de ses conséquences. Si un incident a été écarté par une décision de justice définitive, il ne peut plus servir à évaluer votre solvabilité. Premier réflexe pratique : demandez par écrit à l’établissement s’il vous a refusé le crédit pour un motif lié au FICP, à un autre fichier ou à sa seule appréciation commerciale, et conservez sa réponse. Tout le reste de la procédure dépend de cette réponse.
Les rôles doivent être posés avec la même rigueur. La banque qui étudie votre demande est responsable du traitement de vos données. Lorsqu’elle achète un score auprès d’une société d’information commerciale, ou lorsqu’elle cède votre créance à un établissement de recouvrement, la responsabilité du traitement suit le dossier. Le Conseil d’État l’a illustré le 31 décembre 2024 dans une affaire où une banque avait cédé à une société de recouvrement la créance d’un prêt, avec le traitement de données qui servait à gérer ce prêt (Conseil d’État, 10e chambre, 31 décembre 2024, n° 489114) : la licéité du traitement s’apprécie au regard de l’exécution du contrat de prêt, et la société cessionnaire répond des obligations d’information et d’accès. La leçon de cette décision pour votre dossier : adressez chaque demande au bon interlocuteur — la banque pour le score qui a fondé le refus, le cessionnaire pour la gestion ultérieure de la créance — et formulez des griefs précis, car des affirmations générales ne permettent pas au juge d’apprécier le bien-fondé du recours.
B. Quand le score devient une décision automatisée que le droit encadre strictement
Le basculement se produit lorsque le refus ne résulte plus d’une appréciation humaine éclairée par des données, mais d’une note calculée par un algorithme à laquelle la banque se conforme. Le droit européen qualifie cette situation avec précision. L’article 22 du règlement (UE) 2016/679, dit RGPD, énonce : « La personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire. » Un refus de crédit produit un effet significatif au sens de ce texte : il vous prive d’un financement et laisse une trace dans les fichiers de l’établissement. Le calcul d’une note de solvabilité à partir de vos données personnelles constitue un profilage, et le refus qui en découle mécaniquement entre dans le champ de cet article.
La Cour de justice de l’Union européenne a tranché cette question le 7 décembre 2023 dans l’affaire SCHUFA (CJUE, première chambre, 7 décembre 2023, C-634/21) : l’établissement automatisé d’une valeur de probabilité sur la capacité d’une personne à honorer ses paiements futurs constitue une décision individuelle automatisée dès lors que dépend de manière déterminante de cette valeur le fait qu’un tiers établisse, exécute ou mette fin à une relation contractuelle avec elle. Autrement dit, quand la banque suit le score sans véritable réexamen humain, c’est le score lui-même qui décide, et c’est lui que le droit contrôle. La portée est considérable : peu importe que le fournisseur du score et la banque soient deux sociétés distinctes, peu importe que la banque affirme avoir « validé » le résultat d’un simple clic. Si le refus dépend de manière déterminante de la note, l’article 22 s’applique.
Ce même article prévoit trois exceptions seulement : la décision est nécessaire à la conclusion ou à l’exécution d’un contrat, elle est autorisée par le droit de l’Union ou d’un État membre avec des garanties appropriées, ou elle repose sur votre consentement explicite. Dans le crédit aux particuliers, les établissements invoquent généralement la nécessité contractuelle. Mais cette exception a un prix, fixé par l’article 22 du même règlement : « le responsable du traitement met en œuvre des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée, au moins du droit de la personne concernée d’obtenir une intervention humaine de la part du responsable du traitement, d’exprimer son point de vue et de contester la décision. » Intervention humaine, expression de votre point de vue, contestation : ces trois garanties sont un minimum, pas une faveur commerciale.
Le droit français ajoute une exigence propre, souvent décisive dans les dossiers bancaires. L’article 47 de la loi n° 78-17 du 6 janvier 1978, en vigueur depuis le 1er juin 2019, dispose : « Aucune décision produisant des effets juridiques à l’égard d’une personne ou l’affectant de manière significative ne peut être prise sur le seul fondement d’un traitement automatisé de données à caractère personnel, y compris le profilage, à l’exception » des cas prévus par l’article 22 du RGPD, « sous les réserves mentionnées au 3 du même article 22 et à condition que les règles définissant le traitement ainsi que les principales caractéristiques de sa mise en œuvre soient communiquées, à l’exception des secrets protégés par la loi, par le responsable de traitement à l’intéressé s’il en fait la demande ». La banque doit donc, si vous le lui demandez, vous communiquer les règles du traitement et les principales caractéristiques de sa mise en œuvre. La réserve des secrets protégés par la loi ne l’autorise pas à opposer un silence total : elle doit expliquer ce qu’elle peut expliquer. La CNIL le confirme dans ses lignes consacrées au profilage et à la décision entièrement automatisée : toute personne visée par une telle décision peut demander l’intervention d’une personne humaine, notamment afin d’obtenir un réexamen de sa situation, d’exprimer son point de vue, d’obtenir une explication ou de contester la décision. Le détail de ce droit à l’intervention humaine précise la marche à suivre face à l’organisme.
II. Obtenir l’explication, faire corriger et contester le refus
Une fois établi que le refus repose sur un score, la procédure suit un ordre logique : accéder aux données et à la logique, faire corriger ce qui est faux, exiger le réexamen humain, puis saisir les autorités et le juge si l’établissement persiste.
A. Droit d’accès, explication de la logique et correction des données
Le point de départ est le droit d’accès. L’article 15 du RGPD vous permet d’obtenir la confirmation que des données vous concernant sont traitées, l’accès à ces données et une série d’informations, parmi lesquelles « l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée. » Concrètement, écrivez à la banque — service réclamations ou délégué à la protection des données — pour demander : la confirmation qu’un score automatisé a fondé le refus, les catégories de données utilisées, leur source, les destinataires du score, la logique suivie et les conséquences tirées. Si votre demande d’accès est restée sans réponse il y a peu dans un autre dossier, la méthode détaillée pas à pas est exposée dans notre guide du droit d’accès RGPD quand l’organisme ne répond pas : plainte CNIL, juge et réparation.
La Cour de justice a précisé le contenu de cette explication le 27 février 2025 (CJUE, première chambre, 27 février 2025, C-203/22, Dun & Bradstreet) : face à une décision automatisée, vous pouvez exiger que la banque vous explique, avec des informations pertinentes et d’une façon concise, transparente, compréhensible et aisément accessible, la procédure et les principes concrètement appliqués pour exploiter vos données et produire le résultat, par exemple un profil de solvabilité. Une formule vague évoquant une simple inadéquation de votre profil à ses critères ne satisfait pas cette exigence. Et si la banque invoque le secret des affaires pour refuser toute explication, la Cour tranche : le responsable du traitement doit alors communiquer les informations prétendument protégées à l’autorité de contrôle ou à la juridiction saisie, à qui il revient de pondérer les droits en cause et de fixer l’étendue de votre droit d’accès. Le secret de l’algorithme ne fait donc pas échec à vos droits ; il déplace simplement le débat devant la CNIL ou le juge, qui arbitreront. Cette exigence européenne rejoint l’article 47 de la loi du 6 janvier 1978, qui subordonne les décisions fondées sur un traitement automatisé à la communication des règles du traitement à l’intéressé qui en fait la demande.
Parallèlement, vérifiez l’exactitude des données qui ont nourri le score. Si vous avez déposé un dossier de surendettement, l’article L752-2 du code de la consommation impose à la commission d’en informer la Banque de France dès sa saisine aux fins d’inscription au fichier : vérifiez alors à quel titre exact vous y figurez. Si le refus est lié au FICP, adressez-vous à la Banque de France — au guichet muni d’une pièce d’identité ou par courrier — pour savoir qui vous a inscrit, à quelle date et pour quel motif. Si les sommes ont été payées, exigez de l’établissement à l’origine de l’inscription qu’il déclare le paiement intégral pour obtenir la radiation ; s’il s’y refuse, contestez par écrit en joignant vos preuves de paiement. Si l’inscription résulte d’une erreur — homonymie, incident déjà régularisé avant le délai, dette prescrite ou écartée par une décision de justice définitive — demandez la rectification puis l’effacement, et conservez chaque échange. Pour les incidents internes à la banque, rappelez l’obligation d’information et la recommandation de ne pas exploiter des incidents vieux de plus de vingt-quatre mois. Chaque correction obtenue peut justifier un nouveau réexamen du dossier de crédit sur des bases assainies.
B. Réexamen humain, médiation, CNIL, juge et réparation
Muni de l’explication et des corrections, exigez le réexamen humain de votre dossier. L’article 22 du RGPD vous donne le droit d’obtenir une intervention humaine, d’exprimer votre point de vue et de contester la décision : transmettez à la banque les pièces que l’algorithme a ignorées ou mal pondérées — revenus complémentaires, régularisation d’un incident, erreur de fichier corrigée, caution ou garantie nouvelle — et demandez qu’une personne réexamine la demande. La CNIL recommande d’abord de saisir le service consommateur ou clientèle de l’établissement, compétent pour réexaminer le dossier sur la base de nouvelles pièces. En cas d’échec, le médiateur de la banque, ou le médiateur de l’association professionnelle pour une société de crédit, offre une voie extrajudiciaire gratuite : l’article L316-1 du code monétaire et financier ouvre à tout consommateur le droit de recourir gratuitement à un médiateur pour un litige qui l’oppose à un établissement de crédit. Présentez-y un dossier chronologique : demande initiale, refus, demande d’accès et réponse, corrections obtenues, demande de réexamen humain et refus persistant.
Si l’établissement refuse toute explication ou tout réexamen, la plainte auprès de la CNIL devient l’étape suivante. L’article 77 du RGPD prévoit que « toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle ». La plainte est gratuite et se fait en ligne, après avoir exercé vos droits auprès de l’organisme. Gardez à l’esprit ses limites, rappelées par la CNIL elle-même : elle ne peut pas obliger la banque à vous accorder le crédit. Son rôle est de contrôler le traitement — information délivrée, respect du droit d’accès et d’opposition, durées de conservation, garanties autour de la décision automatisée — puis, si elle constate des manquements, de mettre l’organisme en demeure et, le cas échéant, de prononcer une sanction publique. Une mise en demeure ou une sanction constitue ensuite une pièce de poids devant le juge pour établir la violation.
Le juge judiciaire reste le seul à pouvoir ordonner des mesures individuelles et indemniser votre préjudice. L’article 79 du RGPD garantit que « chaque personne concernée a droit à un recours juridictionnel effectif ». Vous pouvez demander au tribunal judiciaire la communication des informations dues, l’effacement ou la rectification de données illicites, la cessation du traitement contesté et, surtout, la réparation de votre préjudice. L’article 82 du RGPD dispose : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » La Cour de justice a encadré ce droit le 4 mai 2023 (CJUE, troisième chambre, 4 mai 2023, C-300/21, Österreichische Post) : la seule violation du règlement ne suffit pas à ouvrir droit à réparation, un préjudice causé par cette violation doit être démontré, mais aucune règle nationale ne peut subordonner l’indemnisation d’un dommage moral au dépassement d’un seuil de gravité. Concrètement, chiffrez votre préjudice avec des pièces : refus de crédit documenté alors que le dossier était finançable, inscription erronée au FICP maintenue malgré vos preuves, mois d’attente et démarches, anxiété attestée, perte d’une acquisition immobilière avec le compromis et l’offre de prêt à l’appui. Le juge applique ensuite les règles françaises de la réparation, dans le respect des principes d’équivalence et d’effectivité du droit de l’Union.
Ne perdez jamais de vue la frontière du litige : aucun de ces recours ne crée un droit au crédit. Le tribunal ne forcera pas la banque à prêter ; il sanctionnera l’opacité, l’automaticité sans garanties et les données fausses, et il indemnisera le préjudice qui en résulte. Un dossier solide combine donc quatre couches de preuves : la demande d’accès et la réponse de la banque sur l’existence du score, l’explication de la logique ou le refus d’expliquer, les corrections de fichiers obtenues auprès de la Banque de France ou de l’établissement, et la demande de réexamen humain restée vaine. Avec cet ensemble, la plainte CNIL comme l’action en justice cessent d’être des vœux pour devenir des demandes vérifiables.
En conclusion, un crédit refusé sur la base d’un score n’est ni une fatalité ni un passe-droit : c’est une décision encadrée. Quatre réflexes protègent vos droits : demander par écrit si le refus repose sur un traitement automatisé et sur quelles données, exiger l’explication de la logique et l’intervention d’une personne humaine, faire vérifier et corriger les fichiers — FICP auprès de la Banque de France, historiques internes auprès de l’établissement — puis saisir le médiateur, la CNIL et le juge dans cet ordre, avec un dossier chronologique complet. La banque qui explique, réexamine humainement et corrige ses données respecte le droit ; celle qui oppose un score opaque, sans réexamen ni explication, s’expose à une mise en demeure publique et à des dommages et intérêts. Face à un algorithme qui décide de votre solvabilité, l’écrit et la procédure restent vos meilleurs alliés : chaque demande datée et chaque réponse conservée vaut preuve le jour où le dossier arrive devant l’autorité ou le tribunal.
Besoin d’un avis rapide sur votre dossier
Votre crédit a été refusé à cause d’un score automatisé, sans explication ni réexamen par une personne ? Obtenez une consultation téléphonique en 48 heures avec un avocat du cabinet pour examiner votre dossier en numérique et données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, vous répond au 06 46 60 58 22 ou via notre formulaire de contact.