Votre demande de crédit vient d’être rejetée en quelques secondes, sans explication, alors que vos revenus sont stables. Votre candidature à un emploi a été écartée par une plateforme avant même qu’un recruteur ouvre votre dossier. Votre demande d’aide ou d’inscription a reçu une réponse négative générée sans qu’aucun agent ait examiné votre situation. Dans ces trois scènes, le point commun est un traitement automatisé de vos données personnelles qui produit un effet concret sur votre vie : c’est précisément l’hypothèse que le droit européen et le droit français encadrent sous le nom de décision individuelle automatisée.
Le principe est simple à énoncer et exigeant à mettre en œuvre : la personne concernée « a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire ». Ce droit figure à l’article 22 du règlement général sur la protection des données. Le législateur français l’a prolongé à l’article 47 de la loi du 6 janvier 1978, qui interdit d’une part toute décision de justice fondée sur un traitement automatisé évaluant la personnalité d’une personne, et d’autre part toute décision à effets juridiques prise sur le seul fondement d’un traitement automatisé, y compris le profilage, hors exceptions strictes. La Commission nationale de l’informatique et des libertés résume ainsi la règle : par principe, vous pouvez refuser de subir une décision entièrement automatisée qui a un effet juridique ou vous affecte sensiblement, et même quand l’automatisation est permise, vous gardez le droit d’être informé, de connaître la logique employée, de contester et d’obtenir le réexamen par un être humain.
Cet article répond à la question concrète que se pose le lecteur rejeté par une machine : comment identifier la décision automatisée, quels textes invoquer selon qu’elle émane d’une banque, d’un employeur ou d’une administration, et quelles démarches engager pour obtenir une explication, un réexamen humain, puis le cas échéant une sanction et une réparation. Le raisonnement suit l’arrêt du 7 décembre 2023 par lequel la Cour de justice de l’Union européenne a jugé qu’un score de solvabilité peut constituer à lui seul une décision automatisée, et il intègre le nouveau droit à l’explication prévu par le règlement européen sur l’intelligence artificielle pour les usages à haut risque comme le recrutement et l’évaluation de la solvabilité.
I. Reconnaître une décision automatisée et identifier le régime applicable
Avant d’écrire à qui que ce soit, il faut qualifier ce qui vous est arrivé : un simple outil d’aide à la décision, sur lequel un humain a exercé un réel pouvoir d’appréciation, n’obéit pas au même régime qu’une décision prise par la seule machine. Cette qualification commande le choix des textes, de l’interlocuteur et du recours.
A. Le crédit noté par un score : de la note opaque au refus motivé
Le cas le plus fréquent est celui du crédit : un établissement, ou un intermédiaire, interroge vos données, calcule une note de solvabilité et rejette la demande lorsque la note passe sous un seuil. Pendant longtemps, les organismes ont soutenu que la décision appartenait à la banque, le score n’étant qu’une information parmi d’autres. La Cour de justice a tranché cette discussion dans l’affaire dite SCHUFA : le score de solvabilité établi automatiquement par une société de renseignements commerciaux constitue une décision individuelle automatisée, dès lors que la tierce partie qui reçoit cette valeur fait dépendre de manière déterminante de celle-ci l’établissement, l’exécution ou la fin d’une relation contractuelle. Autrement dit, quand le score commande le refus, le producteur du score prend lui-même une décision au sens de l’article 22, avec tout le régime de garanties qui suit.
En droit français, le prêteur reste soumis à une obligation préalable de vérification sérieuse : « Avant de conclure le contrat de crédit, le prêteur vérifie la solvabilité de l’emprunteur à partir d’un nombre suffisant d’informations », et il consulte le fichier national des incidents de remboursement des crédits aux particuliers dans les conditions prévues par les articles L. 312-16 et L. 751-1 du code de la consommation. Cette vérification ne peut pas se réduire à la lecture passive d’une note : le responsable du traitement doit être en mesure d’expliquer sa décision, et la personne concernée dispose d’un droit d’accès qui couvre spécifiquement « l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée ». La même information doit déjà vous avoir été fournie au stade de la collecte, en application des articles 13 et 14 du règlement.
Face à une demande d’explication, les organismes opposent fréquemment le secret des affaires couvrant leur modèle de notation. L’affaire SCHUFA montre les limites de cet argument : la société avait communiqué à la personne concernée son niveau de score et les grandes lignes de son calcul, mais avait refusé, au nom du secret des affaires, de révéler les données prises en compte pour ce calcul et leur pondération, tout en soutenant que seuls ses partenaires prenaient les décisions contractuelles. La Cour a écarté ce montage : dès lors que le score détermine la décision du tiers, son producteur est lui-même auteur d’une décision automatisée et doit en assumer les garanties. Concrètement, le secret peut protéger le code source ou la pondération exacte, mais il ne dispense pas de fournir des informations utiles sur la logique sous-jacente, l’importance et les conséquences du traitement, ni d’organiser le réexamen humain : un refus de crédit fondé sur un score ne peut plus rester une boîte noire.
Concrètement, si votre crédit est refusé après un traitement instantané, demandez par écrit au prêteur la confirmation qu’une décision automatisée a été prise, la logique et les critères employés, les données prises en compte et leur source, notamment en cas de consultation d’un fichier d’incidents, puis l’intervention d’une personne pour réexaminer le dossier. Conservez la réponse, son absence de réponse et les captures de l’interface : ce faisceau servira devant la CNIL comme devant le juge.
B. Le recrutement filtré par l’algorithme et la décision administrative calculée
Le second terrain est celui de l’emploi : tri automatisé des candidatures, tests en ligne notés sans regard humain, outils d’analyse du comportement en entretien vidéo, logiciels qui classent les salariés pour les promotions ou les fins de contrat. Ici, deux couches de protection se superposent. D’abord, le droit du travail impose une transparence préalable : « Le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard », et « Les méthodes et techniques d’aide au recrutement ou d’évaluation des candidats à un emploi doivent être pertinentes au regard de la finalité poursuivie ». Un employeur qui fait passer vos données par un outil de notation sans vous en avoir informé au préalable manque déjà à cette obligation, indépendamment du résultat. Ensuite, le règlement européen s’applique dès que l’outil écarte seul une candidature ou déclasse un salarié : le refus automatique d’une candidature déposée en ligne et l’évaluation automatisée des performances au travail figurent parmi les exemples que la CNIL rattache expressément aux décisions produisant des effets significatifs. Le salarié ou le candidat peut alors exiger d’être informé de l’existence de la décision automatisée, d’en connaître la logique et les critères, de contester et d’obtenir un réexamen humain.
La vigilance doit être redoublée quand l’outil repose sur l’intelligence artificielle : l’annexe III du règlement européen sur l’intelligence artificielle classe parmi les systèmes à haut risque, d’une part, les systèmes d’IA utilisés pour le recrutement et la sélection des personnes, notamment la diffusion d’offres ciblées, le tri des candidatures et l’évaluation des candidats, et d’autre part, les systèmes d’IA servant à évaluer la solvabilité des personnes ou à établir leur note de crédit. Pour ces usages, toute personne qui subit une décision prise par un déployeur sur la base des sorties du système, avec des effets juridiques ou significatifs qu’elle estime néfastes pour sa santé, sa sécurité ou ses droits fondamentaux, a le droit d’obtenir du déployeur des explications claires et pertinentes sur le rôle du système dans la procédure et sur les principaux éléments de la décision. Ce droit à l’explication, prévu à l’article 86 du règlement, complète le droit à l’intervention humaine du règlement données personnelles sans le remplacer : face à un employeur ou à une banque, invoquez les deux.
Le troisième terrain est celui de l’administration : attribution d’une aide, d’une place ou d’un examen, calcul d’un droit, présélection opérée par un traitement. Le législateur a prévu un formalisme protecteur dont la violation est lourdement sanctionnée. D’une part, « une décision individuelle prise sur le fondement d’un traitement algorithmique comporte une mention explicite en informant l’intéressé », et « Les règles définissant ce traitement ainsi que les principales caractéristiques de sa mise en œuvre sont communiquées par l’administration à l’intéressé s’il en fait la demande », selon l’article L. 311-3-1 du code des relations entre le public et l’administration. D’autre part, la loi informatique et libertés reprend cette exigence pour les décisions administratives individuelles et y attache la nullité : « Ces décisions comportent, à peine de nullité, la mention explicite prévue à l’article L. 311-3-1 », tandis que « le responsable de traitement s’assure de la maîtrise du traitement algorithmique et de ses évolutions afin de pouvoir expliquer, en détail et sous une forme intelligible, à la personne concernée la manière dont le traitement a été mis en œuvre à son égard ». Deux limites absolues complètent le dispositif : aucune décision de justice appréciant le comportement d’une personne ne peut reposer sur un traitement automatisé évaluant sa personnalité, et aucune décision statuant sur un recours administratif ne peut être prise sur le seul fondement d’un traitement automatisé. Si l’administration rejette votre demande sans mention explicite d’un traitement algorithmique, ou si elle oppose le secret à votre demande d’explication au-delà des secrets légalement protégés, la décision est contestable pour ce seul motif de forme, avant même tout débat sur le fond.
Dans tous les cas, la première démarche est une demande d’accès et d’explication adressée au responsable du traitement : existence d’une décision automatisée, logique sous-jacente, importance et conséquences prévues, catégories de données et destinataires, durée de conservation. Ce droit d’accès, prévu à l’article 15 du règlement, prépare la contestation et fige les positions : une entreprise ou une administration qui refuse de répondre, répond de façon évasive ou invoque un secret des affaires pour masquer l’intégralité de la logique commet un manquement distinct, qui renforcera une plainte ultérieure. Les lignes directrices européennes sur la décision automatisée et le profilage (G29, WP251 rév. 01, avalisées par le Comité européen de la protection des données), adoptées par le groupe de travail Article 29 puis avalisées par le Comité européen de la protection des données, précisent l’interprétation commune de ces garanties dans l’Union, même si elles n’ont pas la force obligatoire du règlement lui-même.
II. Contester utilement et obtenir réparation
Qualifier la décision ne suffit pas : il faut agir dans le bon ordre, auprès du bon interlocuteur, avec les bonnes pièces. La stratégie efficace combine une phase amiable documentée, un recours devant l’autorité de contrôle et, lorsque le préjudice le justifie, une action en justice.
A. Exiger l’explication et le réexamen humain, pas à pas
La première étape appartient toujours à la personne concernée : écrire au responsable du traitement pour exercer ses droits. Le courrier, envoyé de préférence par un moyen permettant de prouver la réception, présente les faits de façon datée et précise — date et heure du refus, canal utilisé, message exact affiché, somme ou poste en jeu — puis formule trois demandes distinctes : la confirmation de l’existence d’une décision fondée exclusivement sur un traitement automatisé ; la communication des informations utiles sur la logique sous-jacente, l’importance et les conséquences prévues du traitement, ainsi que les catégories de données et les destinataires ; l’intervention d’une personne physique pour réexaminer la situation, avec la possibilité d’exprimer votre point de vue et de fournir des pièces complémentaires. Le règlement impose en effet au responsable, lorsque la décision automatisée est admise par exception, de garantir « au moins du droit de la personne concernée d’obtenir une intervention humaine de la part du responsable du traitement, d’exprimer son point de vue et de contester la décision ».
Deux précisions pratiques évitent les erreurs les plus fréquentes. D’abord, ne vous contentez pas d’une réponse générique indiquant simplement que le dossier ne répond pas aux critères internes : une telle formule ne satisfait ni l’obligation d’information sur la logique ni le droit au réexamen humain, et son insuffisance doit être relevée dans un second courrier. Ensuite, si l’organisme oppose le secret des affaires ou la propriété de son modèle, rappelez que ce secret ne dispense pas de fournir des informations utiles sur la logique, l’importance et les conséquences du traitement : la Cour de justice, dans l’affaire SCHUFA, a précisément écarté l’argument selon lequel le producteur du score se bornerait à transmettre une information, dès lors que le score détermine la décision du tiers. Conservez chaque échange, chaque accusé de réception et chaque nouvelle décision : le dossier amiable constitue le socle de la plainte et de l’action en justice.
Face à une administration, ajoutez une demande fondée sur l’article L. 311-3-1 : communication des règles définissant le traitement et des principales caractéristiques de sa mise en œuvre. L’absence de mention explicite du traitement algorithmique dans la décision, ou le refus de communiquer ces règles hors secrets légalement protégés, ouvre un moyen de nullité qui peut être soulevé devant le juge administratif dans le délai de recours contentieux, parallèlement à la plainte devant la CNIL. Face à un employeur ou à un cabinet de recrutement, ajoutez le rappel de l’obligation d’information préalable sur les méthodes d’aide au recrutement et demandez la communication des critères de filtrage appliqués à votre dossier. Face à une banque, demandez en outre le détail des sources consultées, y compris le résultat de la consultation du fichier des incidents de paiement lorsqu’elle a fondé le refus, ainsi que la nature des données prises en considération.
Pensez aussi au délégué à la protection des données de l’organisme, lorsqu’il en existe un : le règlement prévoit que le responsable lui demande conseil pour l’analyse d’impact des traitements à risque élevé, et dans la pratique le délégué est souvent l’interlocuteur le plus à même de faire réexaminer rapidement un dossier bloqué par un outil. Adressez-lui une copie de votre demande en précisant que vous contestez une décision fondée exclusivement sur un traitement automatisé et que vous sollicitez une intervention humaine, l’explication de la logique et la limitation de l’utilisation du score pendant l’instruction de votre réclamation. Si l’organisme dispose d’un service réclamation ou d’un médiateur, saisissez-le en parallèle : ces voies internes n’interrompent pas les délais de recours juridictionnels, mais elles produisent des réponses écrites qui enrichissent le dossier et démontrent votre bonne foi devant la CNIL comme devant le juge.
Si l’organisme ne répond pas dans un délai d’un mois, répond de façon manifestement incomplète ou maintient une décision purement automatisée sans base légale ni garanties, la phase amiable est épuisée : il faut saisir l’autorité de contrôle sans attendre davantage, car l’inertie affaiblit la démonstration de l’urgence et laisse le traitement illicite produire ses effets, par exemple une note qui continue de circuler entre partenaires commerciaux ou une candidature qui reste écartée des campagnes suivantes.
B. Saisir la CNIL, le juge et obtenir la réparation du préjudice
La plainte devant la CNIL est gratuite et peut être déposée en ligne : exposez la chronologie, joignez les échanges avec le responsable, identifiez le traitement et la décision, et formulez des demandes précises — mise en conformité du dispositif, injonction de réexamen humain, effacement des données indûment traitées. La Commission dispose de pouvoirs d’enquête et de sanction qui donnent à la plainte un effet très concret : elle peut prononcer des sanctions pécuniaires, assortir ses mises en conformité d’astreintes et ordonner la publicité de ses décisions. À titre d’illustration de ces pouvoirs, le Conseil d’État a contrôlé le 14 mai 2024 une délibération par laquelle la formation restreinte avait infligé à une société d’applications mobiles une sanction de trois millions d’euros, avec injonction sous astreinte de vingt mille euros par jour de retard, pour avoir utilisé un identifiant technique à des fins publicitaires sans consentement : l’arrêt Conseil d’État, 14 mai 2024, n° 472221 confirme la méthode de contrôle du juge sur la procédure et la proportionnalité, même s’il porte sur le consentement publicitaire et non sur une décision automatisée. Pour mesurer ce risque, relevez que la CNIL assortit régulièrement ses sanctions d’injonctions de mise en conformité sous astreinte et de publicité : dans l’affaire Voodoo, la formation restreinte avait prononcé « une sanction pécuniaire de 3 millions d’euros », avec injonction de « mettre en conformité son traitement » de données dans un délai de trois mois « sous astreinte de 20 000 euros par jour de retard ». Transposée à un dispositif de scoring ou de filtrage des candidatures, une telle injonction peut contraindre l’organisme à revoir l’ensemble de son outil, à documenter sa logique et à organiser le réexamen humain : c’est ce levier collectif, bien au-delà de votre seul dossier, qui rend la plainte si efficace. Mentionnez donc dans votre plainte non seulement votre cas personnel, mais aussi le caractère systématique du dispositif, le nombre de personnes potentiellement concernées et l’absence d’information préalable, afin d’inviter la Commission à un contrôle global. Pour le responsable du traitement, le risque contentieux ne se limite donc pas à votre dossier individuel : une plainte bien documentée peut déclencher un contrôle global du dispositif de scoring ou de filtrage, avec des conséquences financières et réputationnelles qui incitent souvent à transiger.
L’action en justice suit une logique distincte : elle vise votre réparation et, le cas échéant, l’annulation ou l’écartement de la décision. Toute personne qui subit un dommage matériel ou moral du fait d’une violation du règlement « a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », selon l’article 82 du règlement. Concrètement, le crédit refusé peut ouvrir droit à l’indemnisation du retard dans un projet immobilier ou professionnel, des frais engagés en pure perte et du préjudice moral lié à une notation erronée ; la candidature écartée par un algorithme discriminatoire ou opaque peut fonder une action devant le conseil de prud’hommes, avec demande de dommages et intérêts et, dans les cas de discrimination, les sanctions spécifiques du droit du travail ; la décision administrative automatisée irrégulière peut être déférée au tribunal administratif, qui peut l’annuler pour violation de l’obligation de mention explicite et d’explication, et indemniser le préjudice subi. Devant le juge judiciaire comme devant le juge administratif, produisez le dossier amiable complet, la plainte à la CNIL et sa suite éventuelle, ainsi que tout élément montrant le caractère déterminant du score ou du filtrage dans la décision finale : c’est ce lien de causalité, au cœur du raisonnement de la Cour de justice dans l’affaire SCHUFA, qui fait basculer un simple outil statistique dans le champ de l’article 22.
N’oubliez pas les mesures conservatoires : demandez l’effacement ou la rectification des données inexactes qui alimentent le score, l’effacement du score lui-même lorsqu’il ne repose sur aucune base valable, et la limitation du traitement pendant l’instruction de votre contestation. Une analyse d’impact relative à la protection des données aurait d’ailleurs dû précéder tout traitement de ce type dès lors qu’il est susceptible d’engendrer un risque élevé : le règlement impose au responsable, « Lorsqu’un type de traitement, en particulier par le recours à de nouvelles technologies » présente un tel risque, d’effectuer avant le traitement une analyse d’impact, en demandant conseil au délégué à la protection des données lorsqu’il en existe un. L’absence d’une telle analyse, ou son insuffisance face à un dispositif de scoring ou de filtrage massif, constitue un manquement supplémentaire à invoquer. Si vous découvrez que votre situation relève aussi d’un système d’intelligence artificielle à haut risque, ajoutez la demande d’explication fondée sur l’article 86 du règlement sur l’intelligence artificielle : le déployeur doit exposer le rôle du système dans la procédure et les principaux éléments de la décision, ce qui complète utilement les informations obtenues au titre du droit d’accès.
Conclusion
Un refus de crédit tombé en quelques secondes, une candidature écartée avant tout regard humain, une décision administrative calculée sans mention explicite : ces situations ne sont pas des fatalités techniques mais des décisions juridiques, soumises à des conditions strictes. Retenez l’essentiel : toute décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques ou vous affecte de manière significative est interdite par principe ; lorsqu’elle est permise par exception, elle doit s’accompagner d’une information sur la logique, d’un droit de contestation et d’un réexamen par un être humain ; l’administration doit en outre mentionner explicitement le traitement algorithmique, à peine de nullité, et expliquer ses règles sur demande. L’arrêt SCHUFA de la Cour de justice a clos la principale échappatoire en qualifiant le score déterminant de décision automatisée, et le double mouvement du droit du crédit et du règlement sur l’intelligence artificielle renforce chaque année l’exigence d’explication. Pour approfondir vos droits d’accès et d’information, qui conditionnent toute contestation efficace, consultez notre analyse complète du droit d’accès au dossier et des recours contre l’organisme qui ne répond pas.
Agissez vite et par écrit : demande d’accès et d’explication, exigence d’intervention humaine, plainte à la CNIL en cas d’échec, puis action en annulation ou en réparation devant le juge compétent. Chaque étape documentée renforce la suivante, et un dossier amiable rigoureux suffit souvent à obtenir le réexamen que la machine avait refusé.
Besoin d’un avis rapide sur votre dossier
Vous avez reçu un refus fondé sur un score, un algorithme ou un traitement automatisé et vous souhaitez une analyse de votre dossier en numérique et données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, vous propose une consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via la page formulaire de contact.