Votre caisse d’allocations familiales vous réclame un indu de plusieurs milliers d’euros après un contrôle que vous n’avez pas vu venir. Vos prestations sont réduites chaque mois par des retenues, et vous apprenez qu’un « score de risque » calculé par un algorithme a orienté votre dossier vers ce contrôle. Que recouvre ce score, quelles données l’alimentent, et surtout comment contester utilement le contrôle, la dette et l’usage de vos données ? Le cadre existe : le règlement européen sur les données personnelles, la loi française, le code de la sécurité sociale et un rapport du Défenseur des droits publié en avril 2026 qui décrit précisément ces outils de ciblage. Cet article explique le dispositif, vos droits sur vos données et les recours, étape par étape.
I. Le score de risque de la CAF et le cadre de vos données personnelles
A. Un ciblage mensuel de vos dossiers par datamining
La branche famille des organismes de sécurité sociale utilise depuis 2010 environ des techniques dites de datamining pour cibler ses contrôles. La Caisse nationale des allocations familiales l’explique elle-même sur sa page consacrée aux contrôles : le datamining permet d’évaluer le risque de la présence d’un indu (trop-perçu). La caisse précise qu’il ne s’agit pas d’un algorithme de lutte contre la fraude, car les indus peuvent être causés par des erreurs non intentionnelles. Des techniques statistiques déterminent les facteurs les plus susceptibles d’augmenter ou de diminuer ce risque, et l’ensemble de ces facteurs permet de calculer le « score de risque » pour un dossier. Le contrôleur s’appuie sur ces « scores de risque », parmi d’autres informations, pour effectuer des contrôles de manière plus efficace, en se concentrant sur les dossiers les plus susceptibles de comporter des erreurs.
Le rapport du Défenseur des droits intitulé La lutte contre la fraude aux prestations sociales à l’ère de son industrialisation, publié en avril 2026, décrit le fonctionnement concret de cet outil, nommé DMDE. Chaque mois, l’algorithme attribue aux dossiers un score de risque, transmis par la Caisse nationale aux caisses locales. Les dossiers sélectionnés par l’algorithme font obligatoirement l’objet d’un contrôle global : selon le score, le dossier est orienté vers un contrôle sur place pour les scores les plus élevés ou vers un contrôle sur pièces pour les autres. Un outil interne d’affinage permet ensuite aux responsables des services de contrôle de choisir les dossiers, avec des pratiques variables : en matière de contrôle sur place, le responsable établit son plan selon ses objectifs d’incidence financière annuels, tandis que pour les contrôles sur pièces, l’ensemble des contrôles présents sur la liste doit être réalisé. Le rapport relève aussi que l’agent de contrôle n’a en principe connaissance ni de la cible de contrôle ni du score du dossier, afin d’assurer un contrôle global et neutre, même si la cible apparaît parfois sur les rapports d’enquête rédigés par les agents.
Deux points méritent l’attention du lecteur. D’abord, le score n’est qu’un outil d’aide à la décision : l’intervention d’un agent reste requise pour lancer un contrôle, et un score élevé n’entraîne pas systématiquement un contrôle, les moyens humains des caisses jouant leur rôle. Ensuite, les variables utilisées interrogent : situation familiale, vie professionnelle, revenus, interactions avec la caisse. Le Défenseur des droits constate que plusieurs éléments permettent d’identifier des risques de discrimination, liés à un possible surcontrôle de certaines catégories d’usagers, et que les justifications du caractère nécessaire et approprié de ces différences de traitement font défaut. Il décrit également le biais d’ancrage, c’est-à-dire la difficulté de l’agent à se départir de la première impression fournie par le système, et le biais d’automatisation, soit la tendance à faire davantage confiance aux résultats produits par la machine qu’à son propre jugement. Ces constats sont ceux d’une autorité indépendante dans un rapport, pas ceux d’un juge : aucune juridiction n’a, à la date de rédaction, jugé discriminatoire l’algorithme de la caisse, et un recours associatif contre ce traitement est pendant devant le Conseil d’État. C’est précisément pour cela que la transparence et vos droits d’accès comptent autant que la contestation de l’indu lui-même.
B. Vos droits sur les données qui nourrissent le score
Le score est calculé à partir de vos données personnelles : la caisse détient sur chaque allocataire et ses proches des milliers d’informations, et une sélection de variables sert chaque mois à mettre à jour la note. Or ces données sont protégées. Le règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données, pose que la personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire. En droit français, l’article 47 de la loi du 6 janvier 1978 dispose qu’aucune décision produisant des effets juridiques à l’égard d’une personne ou l’affectant de manière significative ne peut être prise sur le seul fondement d’un traitement automatisé de données à caractère personnel, y compris le profilage, à l’exception de plusieurs cas, dont les décisions administratives individuelles prises dans le respect du code des relations entre le public et l’administration, à condition notamment que le traitement ne porte pas sur des données sensibles. Dans ce cas, la décision doit comporter une mention explicite, et le responsable du traitement doit pouvoir expliquer en détail et sous une forme intelligible comment le traitement a été mis en œuvre.
La Cour de justice de l’Union européenne a précisé la portée de cette protection dans l’affaire C-634/21, dite SCHUFA Holding. Comme le résume la lettre de la direction des affaires juridiques du ministère de l’économie, l’établissement automatisé d’une valeur de probabilité relative à la capacité de remboursement d’un crédit fondé sur les données personnelles constitue une décision individuelle automatisée selon l’article 22 du règlement général sur la protection des données. Dans cette affaire, un score de solvabilité établi par une société privée avait conduit une banque à refuser un crédit, et la Cour a jugé que ce score pouvait lui-même constituer la décision, même si la décision finale était prise par un tiers. Le raisonnement intéresse directement le contentieux des scores publics : lorsqu’un score conditionne en pratique le déclenchement d’un contrôle approfondi, l’exigence d’une intervention humaine réelle et d’une information complète prend toute sa force.
Le Conseil d’État a, de son côté, fixé des garanties pour les traitements algorithmiques servant de fondement à des décisions individuelles. Dans une décision du 4 mars 2022 relative au traitement Affelnet d’affectation des élèves, il rappelle que les décisions administratives individuelles prises sur le fondement d’un traitement automatisé doivent comporter, à peine de nullité, la mention explicite prévue par le code des relations entre le public et l’administration, et que le responsable du traitement doit s’assurer de la maîtrise du traitement algorithmique et de ses évolutions afin de pouvoir expliquer, en détail et sous une forme intelligible, à la personne concernée la manière dont le traitement a été mis en œuvre à son égard. Concrètement, si votre caisse vous notifie une décision fondée sur son outil de ciblage, vous pouvez exiger cette explication intelligible : quelles catégories de données ont été utilisées, avec quelle logique, et quelle part a pris l’appréciation humaine.
Vos droits s’exercent aussi au quotidien. La Commission nationale de l’informatique et des libertés rappelle que dans le secteur social, l’information des personnes et leurs droits d’accès, de rectification et d’opposition doivent être effectifs, y compris pour des données sensibles comme celles relatives à la santé ou au handicap lorsqu’elles sont strictement nécessaires à la délivrance d’une prestation prévue par un texte (les données personnelles dans le secteur social : les grandes notions). La caisse indique pour sa part que le traitement établissant le score de risque a fait l’objet d’une analyse d’impact par le délégué à la protection des données, et renvoie à sa page dédiée pour l’exercice des droits (tout savoir sur les contrôles à la Caf). En pratique, demandez la copie de vos données, la liste des destinataires, la durée de conservation et, lorsque le score a joué un rôle, une explication de sa logique. Si des données sont fausses, exigez leur rectification : sur ce point précis, notre analyse des données fausses qui bloquent un droit et des moyens de les faire rectifier détaille la méthode. Le Défenseur des droits recommande d’ailleurs aux organismes de mentionner systématiquement le recours aux algorithmes dans les décisions individuelles notifiées et de garantir une information continue de l’allocataire tout au long de la procédure de contrôle. L’absence de cette mention, ou une explication insuffisante, fragilise la décision et nourrit vos recours.
Précision utile sur l’opposition : lorsque le traitement repose sur l’exécution d’une mission d’intérêt public, comme c’est le cas des contrôles de la caisse, le droit d’opposition ne permet pas d’exiger l’arrêt pur et simple du contrôle lui-même. Il permet en revanche de contester l’usage de certaines données, d’en exiger la rectification et de demander que la décision ne soit pas prise sur le seul fondement du score. Formulez donc votre demande en ce sens : opposition à l’utilisation de données inexactes ou non pertinentes, demande d’examen humain de votre dossier, demande de réexamen d’une décision que vous estimez automatisée. Adressez cette demande au délégué à la protection des données de votre caisse, par écrit, en conservant la preuve de l’envoi. Sans réponse dans un délai d’un mois, la plainte devant la Commission nationale de l’informatique et des libertés devient recevable dans de bonnes conditions, et le silence de l’organisme constitue déjà un premier élément de votre dossier contentieux.
II. Contester le contrôle, l’indu et obtenir réparation
A. Le contrôle et la notification d’indu : preuves, délais et recours obligatoires
Le contrôle lui-même obéit à des règles. Les vérifications sont confiées à des agents chargés du contrôle, assermentés et agréés, et les constatations établies à cette occasion par ces agents font foi jusqu’à preuve du contraire. Cette formule signifie que le rapport de l’agent est présumé exact, mais que vous pouvez le combattre par toute preuve contraire : relevés, attestations, justificatifs de situation. Les agents disposent en outre d’un droit de communication qui permet d’obtenir, sans que le secret professionnel puisse y faire obstacle, les documents et informations nécessaires au contrôle de la sincérité des déclarations et de l’authenticité des pièces (article L. 114-19 du code de la sécurité sociale). Ce pouvoir est large : employeurs, banques, administrations peuvent être sollicités. Vérifiez que les demandes restent proportionnées à l’objet du contrôle et conservez la trace de chaque échange, car un contrôle fondé sur des pièces hors sujet ou des informations périmées se conteste.
À l’issue du contrôle, si la caisse estime que des prestations vous ont été versées à tort, elle vous notifie un indu. Le service public officiel rappelle que vous devez rembourser les prestations versées à tort pendant une période de 2 ans, portée à 5 ans si l’attribution résulte d’une fraude ou de fausses déclarations. La récupération s’opère par retenues sur les prestations à venir ou, si vous l’acceptez, par remboursement intégral en un seul versement ; à défaut, la caisse peut prélever sur d’autres prestations sociales, et en contrepartie des frais de gestion engagés lorsque le versement indu résulte d’une fraude, l’organisme recouvre une indemnité équivalant à 10 % des sommes réclamées. Chaque mot compte ici : la fraude suppose une intention, que la caisse doit établir. Une simple erreur déclarative, un changement de situation signalé tardivement ou une donnée erronée détenue par la caisse elle-même ne constituent pas une fraude. Contestez systématiquement la qualification de fraude lorsqu’elle ne repose que sur le score ou sur des présomptions, car elle double les enjeux : délai porté à cinq ans et pénalité de 10 %.
Le recours suit un chemin obligatoire. Les réclamations contre les décisions des organismes de sécurité sociale sont soumises à une commission de recours amiable, qui doit être saisie dans le délai de deux mois à compter de la notification de la décision. Ce recours préalable est imposé avant tout recours contentieux (article L. 142-4 du code de la sécurité sociale. Ne laissez donc pas passer le délai de deux mois : adressez à la commission un courrier recommandé exposant les faits, joignant vos preuves et soulevant chaque moyen, y compris ceux tirés de vos droits sur les données, comme l’absence d’information sur le rôle du score ou le refus de vous expliquer sa logique. Si la commission rejette votre réclamation, le litige relève des tribunaux judiciaires spécialement désignés pour le contentieux de la sécurité sociale (article L. 211-16 du code de l’organisation judiciaire). À Paris et en Île-de-France, ce contentieux se porte devant le tribunal judiciaire de Paris, juridiction spécialement désignée, et les caisses franciliennes appliquent les mêmes règles nationales : l’ancrage local ne change ni les délais ni la procédure, mais il détermine le guichet où déposer utilement votre dossier et solliciter l’aide juridictionnelle le cas échéant.
Dès le premier courrier de la caisse, constituez un dossier de preuves méthodique : conservez l’enveloppe ou la date de notification électronique pour calculer le délai de recours, photocopiez chaque pièce demandée et chaque pièce fournie, notez les dates et les noms des agents rencontrés, et consignez par écrit tout entretien téléphonique dont vous contesterez ensuite la teneur. Si un agent se déplace à votre domicile, vous pouvez demander qu’il justifie de son habilitation et refuser tout accès aux pièces privées sans lien avec les prestations contrôlées. Ces réflexes valent aussi pour vos échanges numériques : espace personnel en ligne, courriels, attestations téléchargées. Un dossier chronologique et complet permet à la commission de recours amiable, puis au juge, de vérifier chaque étape, et il rend vos demandes d’accès et de rectification beaucoup plus efficaces.
Pendant toute la procédure, exigez la communication du rapport d’enquête à la fin du contrôle et, lors du contrôle, la charte de contrôle de la caisse : le Défenseur des droits en recommande la communication systématique. Demandez aussi que la caisse précise si votre dossier a été sélectionné par l’outil de ciblage et avec quel score : cette information conditionne votre argumentation sur l’intervention humaine réelle et sur l’explication due. Si la caisse refuse de vous répondre sur ces points, faites constater ce refus par écrit, car il alimentera votre plainte devant la Commission nationale de l’informatique et des libertés et, le cas échéant, votre recours devant le juge.
B. CNIL, Défenseur des droits et juge : faire sanctionner les manquements et chiffrer la réparation
Lorsque vos droits sur vos données sont ignorés, la plainte devant la Commission nationale de l’informatique et des libertés constitue la voie naturelle. Saisissez-la après avoir exercé vos droits auprès de la caisse : demande d’accès restée sans réponse dans le délai d’un mois, refus d’explication sur la logique du score, données inexactes non rectifiées, informations non fournies sur les destinataires. Joignez vos courriers et les réponses reçues. La Commission peut mettre en demeure la caisse, prononcer des sanctions et ordonner des mesures de mise en conformité. Son intervention ne rembourse pas l’indu à elle seule, mais une mise en demeure ou une sanction pèse lourd dans le contentieux ultérieur : elle établit qu’un manquement aux règles de protection des données a bien eu lieu.
Parallèlement, le Défenseur des droits peut également être saisi si vous estimez que le contrôle ou ses suites portent atteinte à vos droits, notamment en cas de discrimination. Son rapport de 2026 identifie précisément des risques de surcontrôle de certaines catégories d’usagers et recommande aux organismes la transparence du modèle, la réalisation systématique d’analyses d’impact intégrant les risques de discrimination, et la définition stricte de l’objectif poursuivi. Si votre situation illustre ces risques, par exemple des contrôles répétés sans anomalie constatée ou un ciblage que rien dans votre comportement déclaratif n’explique, exposez les faits avec des éléments comparatifs et demandez à l’institution d’intervenir. Ses recommandations ne sont pas des décisions de justice, mais elles éclairent le juge et font évoluer les pratiques des caisses.
Devant le juge, deux objectifs se distinguent : l’annulation de l’indu ou de la sanction, et la réparation de vos préjudices. L’annulation se joue sur la régularité de la procédure et le bien-fondé de la dette : prescription de deux ans sauf fraude établie, calcul erroné des ressources, situation familiale mal appréciée, absence de mention explicite du recours à un traitement automatisé lorsque la décision s’y fonde, défaut d’explication intelligible. La réparation suppose de démontrer un manquement, un préjudice et un lien entre les deux : retenues ayant provoqué un découvert et des frais bancaires, suspension de prestations ayant entraîné des impayés de loyer, préjudice moral lié à des contrôles à répétition ou à une convocation intrusive. Chiffrez chaque poste avec des pièces : relevés bancaires, courriers de la caisse, constats d’huissier si un agent s’est présenté à votre domicile dans des conditions contestables, échanges avec le délégué à la protection des données. Les montants alloués en matière de protection des données personnelles varient fortement selon les juridictions et les préjudices prouvés : ne promettez jamais un montant à l’avance, et construisez votre demande poste par poste plutôt qu’en une somme globale inexpliquée.
Restez enfin lucide sur les limites de l’exercice. Le score de risque n’est pas en soi illégal : la loi autorise les organismes à contrôler et à croiser des données, et la caisse affirme que son outil détecte des indus, pas des fraudeurs. Ce qui se conteste, c’est l’absence d’information, l’absence d’intervention humaine réelle, l’inexactitude des données, la qualification abusive de fraude et la méconnaissance des délais. Gardez chaque courrier, chaque notification et chaque relevé : dans ce contentieux, le dossier le mieux documenté l’emporte sur les affirmations générales. Et si une décision récente venait trancher le sort de l’algorithme devant le Conseil d’État, elle s’appliquerait aux procédures en cours : suivez l’actualité juridictionnelle avant de former vos recours définitifs.
En retenant l’essentiel, un contrôle déclenché après un score de risque se traite comme tout contrôle, avec une couche supplémentaire tirée de vos droits sur vos données. Exigez l’information sur le rôle du score, l’accès à vos données et leur rectification, contestez l’indu dans les délais devant la commission de recours amiable puis devant le tribunal judiciaire, et mobilisez la Commission nationale de l’informatique et des libertés ainsi que le Défenseur des droits lorsque les manquements persistent. La rigueur de votre dossier fera la différence entre une dette subie et une décision utilement contestée.