Votre demande de crédit vient d’être refusée en quelques minutes, parfois en quelques secondes, avec une formule vague : après étude de votre dossier, votre profil ne correspond pas aux critères de la banque. Aucun nom d’interlocuteur, aucun chiffre, aucune explication du rôle joué par le score calculé sur vos données. Ce refus sec peut cacher un traitement entièrement automatisé : un outil a évalué votre solvabilité, produit une note ou une probabilité de défaut, et la décision de la banque a suivi cette note sans regard humain significatif. Depuis le 7 mai 2026, ce type de situation dispose d’un cadre précis en France. La Commission nationale de l’informatique et des libertés a publié une recommandation sur l’évaluation de la solvabilité dans l’octroi de crédit, qui remplace l’autorisation unique de 2008 et tire les conséquences de deux arrêts majeurs de la Cour de justice de l’Union européenne, l’arrêt SCHUFA du 7 décembre 2023 (C-634/21) et l’arrêt du 27 février 2025 (C-203/22). Le message est direct : un score qui détermine l’octroi ou le refus d’un crédit est une décision individuelle automatisée au sens de l’article 22 du règlement général sur la protection des données, et la personne notée par ce score dispose de droits concrets, dont le réexamen humain de son dossier. Cet article explique quand un refus de crédit relève de ce régime, ce que la banque doit vous communiquer, et comment exiger l’intervention d’une personne, l’explication de la note et, si nécessaire, la réparation devant la Commission ou le juge.

I. Le score qui fait refuser votre crédit relève de la décision individuelle automatisée

Le raisonnement tient en trois temps : un score automatisé qui joue un rôle déterminant dans le refus constitue une décision automatisée, le règlement pose un principe d’interdiction avec des exceptions étroites, et la recommandation française de mai 2026 applique ce cadre au crédit à la consommation. Chaque temps emporte des conséquences pratiques pour l’emprunteur éconduit.

A. Un scoring déterminant équivaut à une décision automatisée au sens de l’article 22 du RGPD

Le point de départ est le texte européen, qui ouvre à toute personne le droit de ne pas subir une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, dès lors qu’elle produit des effets juridiques ou affecte la personne de manière significative. Un refus de crédit entre sans difficulté dans cette définition : il affecte la situation financière de la personne, conditionne l’accès à un bien ou à un service, et produit donc un effet juridique ou, à tout le moins, un effet significatif similaire. La Commission nationale de l’informatique et des libertés le rappelle sur sa page consacrée au profilage : par principe, les individus ont le droit de ne pas faire l’objet d’une telle décision, des exceptions restant prévues avec des garanties spécifiques.

La question décisive était de savoir si le score lui-même, calculé par un tiers ou par la banque, constitue déjà une telle décision, ou seulement un préparatif. La Cour de justice a tranché le 7 décembre 2023 dans l’affaire dite SCHUFA, à propos d’un score de solvabilité établi par une société de renseignements commerciaux et transmis à des banques : dès lors que la banque suit ce score de façon déterminante, le score est la décision, même si une signature humaine figure formellement au bas du courrier de refus. Le critère est donc fonctionnel et tient au rôle déterminant de la note dans la décision finale d’octroi ou de refus. À l’inverse, une note purement indicative, qu’un analyste crédit confronte à des pièces, à un entretien et à sa propre appréciation, ne bascule pas dans ce régime. Pour établir ce rôle déterminant, plusieurs indices convergents méritent d’être relevés : l’instantanéité de la réponse, l’absence de tout entretien préalable, une motivation identique adressée à des profils différents, ou encore l’impossibilité pour le conseiller d’agence d’expliquer les facteurs du rejet et de le réviser. La Commission attend d’ailleurs des organismes qu’ils documentent la réalité de l’intervention humaine, avec un niveau de suivi et de contrôle vérifiable sur chaque dossier, ainsi qu’une analyse d’impact quand le traitement présente un risque élevé pour les droits des personnes. Les outils qui reposent sur l’intelligence artificielle ajoutent une couche d’exigences propre au règlement européen sur l’intelligence artificielle pour les systèmes à haut risque, sans remplacer les garanties du règlement sur les données. Demandez donc si une analyse d’impact a été menée et quelles mesures correctrices des biais ont été adoptées.

Une fois la qualification acquise, le règlement prévoit trois exceptions seulement : la décision nécessaire à la conclusion ou à l’exécution d’un contrat, la décision autorisée par le droit national avec des garanties appropriées, et la décision fondée sur le consentement explicite. Dans le crédit, les deux premières sont invoquées : la banque soutient que le traitement automatisé est nécessaire pour conclure le contrat au vu de ses obligations précontractuelles d’évaluation de la solvabilité, ou qu’il est autorisé par la loi française. La recommandation de mai 2026 reprend cette analyse en visant les articles L. 312-16 et L. 313-16 du code de la consommation, et annonce qu’à compter du 20 novembre 2026, l’ordonnance du 3 septembre 2025 relative au crédit à la consommation introduit une autorisation légale expresse pour ces décisions automatisées. Point important relevé par la Commission : cette recommandation n’a pas de valeur contraignante, et l’organisme qui s’en écarte doit justifier et documenter les mesures mises en œuvre pour garantir la conformité de ses traitements. Autrement dit, la banque peut défendre une autre lecture, mais elle doit la documenter, et le juge comme la Commission vérifieront.

En droit français, le Conseil d’État rappelle, à propos des traitements algorithmiques, la règle de l’article 47 de la loi du 6 janvier 1978, dont il cite les termes dans son arrêt du 4 mars 2022 sur le traitement Affelnet Lycée : « Aucune décision produisant des effets juridiques à l’égard d’une personne ou l’affectant de manière significative ne peut être prise sur le seul fondement d’un traitement automatisé de données à caractère personnel, y compris le profilage […] » et « le responsable de traitement s’assure de la maîtrise du traitement algorithmique et de ses évolutions afin de pouvoir expliquer, en détail et sous une forme intelligible, à la personne concernée la manière dont le traitement a été mis en œuvre à son égard ».

B. La banque doit vous informer, vous expliquer la logique du score et organiser le réexamen humain

Le second apport du cadre actuel porte sur la transparence. Le règlement impose au responsable du traitement d’informer la personne de l’existence d’une prise de décision automatisée et de lui fournir des informations utiles sur la logique sous-jacente, ainsi que sur l’importance et les conséquences prévues du traitement. La Cour de justice a donné à cette formule un contenu exigeant le 27 février 2025 : l’emprunteur peut exiger une explication fournie de façon concise, transparente et compréhensible, exposant la procédure et les principes concrètement appliqués à son dossier pour produire le profil de solvabilité. Une réponse qui se limite aux étapes abstraites du logiciel, sans exposer les principes concrètement appliqués à votre situation, ne satisfait pas à cette exigence. Et l’argument du secret des affaires ne fait pas échec au droit : la banque qui s’en prévaut doit communiquer les informations protégées à l’autorité de contrôle ou au juge, à qui il revient de pondérer les intérêts en présence. Un simple refus opposé au nom de la confidentialité du modèle ne clôt donc pas le débat.

La recommandation française décline ces principes en obligations opérationnelles. D’abord, l’information doit intervenir tôt : les personnes doivent être avisées, dès la réception de leur demande, qu’elles pourront solliciter un réexamen de leur dossier en cas de rejet, présenter leurs observations sur leur situation financière, et obtenir un entretien, y compris à distance. Ensuite, le périmètre des données mobilisées est encadré : seules certaines catégories peuvent alimenter l’évaluation, comme l’identité et la situation familiale et de logement, les revenus et charges du foyer, les caractéristiques du crédit demandé ou les éléments d’activité professionnelle, tandis que les réseaux sociaux ne constituent pas des sources utilisables pour cette évaluation. Enfin, les durées de conservation sont précisées : les données d’une demande qui n’aboutit pas ne peuvent être conservées indéfiniment, et la prise en compte des manquements contractuels passés d’un demandeur déjà client doit rester proportionnée à la gravité de l’incident et au profil de risque. Concrètement, après un refus, vous pouvez exiger la liste des données utilisées pour votre score, la durée de leur conservation, la logique appliquée et l’importance respective des facteurs. Si la banque a consulté le Fichier national des incidents de remboursement des crédits aux particuliers, elle doit le dire : ce fichier fournit un simple élément d’appréciation de la solvabilité, et l’inscription n’emporte pas à elle seule interdiction de délivrer un crédit. La consultation du FICP obéit à des cas d’obligation ou de simple faculté selon le type de crédit, et celle du Fichier central des chèques reste toujours facultative dans ce cadre. Exigez donc la mention précise du fichier consulté, de la date de consultation et des informations qui en ont été extraites, car un score alimenté par une donnée périmée ou relative à un homonyme vicie toute la décision. Le refus motivé par la seule présence au FICP, sans examen du dossier, pose un problème distinct, traité dans notre analyse du fichage FICP abusif ou erroné et des droits contre la banque.

II. Contester un refus automatisé, saisir la CNIL et obtenir réparation

Le droit à l’explication n’est pas une fin en soi : il prépare la contestation. Le parcours utile combine une demande écrite à la banque, le réexamen humain, puis, en cas d’échec, la plainte devant la Commission et l’action devant le juge. Chaque étape doit être documentée, car la charge de la démonstration pèsera sur les pièces que vous aurez conservées.

A. Écrire à la banque, exiger un réexamen par une personne et saisir la CNIL en cas de refus persistant

La première démarche consiste à adresser au responsable du traitement une demande écrite qui invoque précisément vos droits : droit d’accès aux données utilisées pour le score, droit de connaître l’existence de la décision automatisée et sa logique, droit d’obtenir une intervention humaine, d’exprimer votre point de vue et de contester la décision. Demandez donc trois choses distinctes : la communication des données et de la logique, un réexamen de votre dossier par une personne habilitée à modifier la décision, et un entretien pour présenter vos observations sur votre situation financière. La Commission recommande elle-même cet entretien, y compris à distance. Identifiez aussi les acteurs de la chaîne : la banque qui décide, l’éventuel intermédiaire qui transmet le dossier, et le fournisseur externe qui calcule le score. Selon les contrats qui les lient, chacun peut agir comme responsable du traitement, responsable conjoint ou sous-traitant, avec des obligations d’information et de sécurité propres. Dirigez votre demande contre la banque qui a prononcé le refus, tout en exigeant l’identité du fournisseur du score et la nature exacte des données qu’il a transmises, afin de pouvoir exercer vos droits contre chaque maillon utile. Joignez les pièces qui corrigent le score : attestation de revenus récents, preuve de la fin d’une période de chômage, justificatif du règlement d’un incident ancien, explication d’une irrégularité de relevés. Envoyez cette demande en recommandé avec accusé de réception ou par un canal traçable, et conservez le refus initial, ses motifs et ses délais. Adressez une copie de cette demande au délégué à la protection des données de l’établissement, dont les coordonnées figurent dans la politique de confidentialité, afin de créer un second point de suivi interne et d’accélérer le traitement.

Si la banque maintient le refus sans explication suffisante, ou si elle refuse le réexamen humain, la voie administrative s’ouvre. Le règlement ouvre à toute personne le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État de sa résidence, de son lieu de travail ou du lieu de la violation alléguée. En France, cette autorité est la Commission nationale de l’informatique et des libertés, qui reçoit un volume important de plaintes liées au crédit, notamment sur l’alimentation du FICP, la transparence des traitements et la prise en compte des difficultés de remboursement. Votre plainte doit être ciblée : joignez le refus, votre demande d’explication et de réexamen, la réponse de la banque, et exposez en quoi le score a joué un rôle déterminant sans intervention humaine significative. Précisez dans la plainte la chronologie complète, les références de vos courriers et les captures prouvant l’automatisation du refus. La Commission accuse réception, instruit le dossier et vous informe de l’état d’avancement, y compris de la possibilité d’un recours contre ses propres décisions. Une plainte précise, chiffrée et documentée a davantage de chances d’aboutir à une mise en demeure ou à un contrôle du responsable du traitement. La Commission peut instruire, mettre en demeure et sanctionner. En parallèle, vérifiez votre situation dans les fichiers d’incidents : une inscription erronée ou maintenue à tort fausse tout score en aval, et sa rectification peut suffire à rouvrir le dossier de crédit. Dans ce cas, l’articulation avec le contentieux du fichage devient centrale, et notre étude du fichage FICP abusif ou erroné décrit les vérifications à mener contre la banque avant de solliciter la radiation et la réparation.

B. Porter le litige devant le juge : recours effectif, réparation du préjudice et garanties françaises

La plainte devant la Commission n’épuise pas vos droits. Le règlement ouvre un recours juridictionnel effectif à toute personne qui estime que ses droits ont été violés par un traitement non conforme. L’action peut être intentée devant les juridictions de l’État membre où le responsable dispose d’un établissement, ou devant celles de votre résidence habituelle. Vous pouvez demander au juge d’ordonner la communication de la logique du score, d’enjoindre un réexamen humain de votre demande, et de tirer les conséquences d’un traitement illicite.

Lorsque le refus automatisé vous a causé un dommage, par exemple la perte d’une acquisition immobilière, le paiement d’un loyer prolongé, des frais de dossier répétés ou une atteinte à votre réputation financière, le règlement prévoit la réparation du préjudice matériel comme du préjudice moral, avec une responsabilité solidaire des co-responsables du même traitement. La Cour de cassation a précisé le régime de cette réparation dans un arrêt du 24 juin 2026 sur l’article 82 du règlement : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » et « la personne demandant réparation au titre de cette disposition est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral ». En revanche, aucune gravité minimale du préjudice moral ne peut être exigée : la Cour rappelle que le texte s’oppose à une règle nationale subordonnant la réparation à un seuil de gravité. La banque ne s’exonère qu’en prouvant que le fait dommageable ne lui est nullement imputable, preuve exigeante quand le score et ses biais sont ses propres outils.

Le droit français renforce ce dispositif par des garanties constitutionnelles et administratives dégagées à propos des traitements algorithmiques, transposables dans l’esprit aux décisions privées de masse. Le Conseil constitutionnel, dans sa décision du 12 juin 2018 sur les algorithmes de l’administration, a subordonné l’usage des traitements automatisés à des garanties de transparence, d’information et de recours, ligne confirmée pour la vidéoprotection algorithmique expérimentée lors des jeux Olympiques dans sa décision du 19 mai 2023. Le Conseil d’État a appliqué ces exigences aux dispositifs d’affectation des élèves et, saisi de la contestation des procédés algorithmiques de Parcoursup, il a jugé que le moyen tiré de l’atteinte au droit de demander compte aux agents publics « soulève une question qui peut être regardée comme présentant un caractère sérieux […] il y a lieu de renvoyer au Conseil constitutionnel les questions prioritaires de constitutionnalité invoquées », dans son arrêt du 15 janvier 2020, prolongé par un second renvoi le 15 juillet 2020 dans la même affaire Parcoursup. Ces décisions confirment une ligne constante, rappelée dans la décision QPC du 3 avril 2020 sur Parcoursup : plus une décision automatisée affecte la vie des personnes, plus l’exigence d’explication, d’intervention humaine et de contrôle juridictionnel est élevée. Pour votre dossier, cela signifie que le juge vérifiera concrètement si une personne a réellement examiné votre situation, si les critères étaient connus et non discriminatoires, et si vous avez pu présenter vos observations avant que le refus devienne définitif.

Reste la question des preuves. Conservez le courrier ou le message de refus avec sa date et son heure, les captures de l’espace en ligne montrant l’instantanéité de la réponse, tout échange avec le conseiller, votre demande écrite d’explication et de réexamen avec ses accusés, la réponse de la banque, vos pièces financières correctives, et, le cas échéant, votre relevé FICP et la plainte déposée devant la Commission. Notez les délais : un refus notifié en quelques secondes après une demande en ligne, sans aucun contact, constitue un indice sérieux d’automatisation intégrale. Devant le juge, la production de pièces contenant des données personnelles obéit elle-même à des règles strictes : la deuxième chambre civile juge « qu’il appartient au juge de procéder au contrôle […] en particulier en veillant au principe de minimisation des données à caractère personnel […] », dans un arrêt du 3 octobre 2024 sur la communication de documents en justice. Ne communiquez donc que les pièces utiles, et demandez au juge d’en limiter l’usage au litige. Par ailleurs, la banque peut conserver certaines données en archivage à des fins probatoires en cas de contentieux ultérieur, dans des conditions strictes de durée et d’accès limité. Cette conservation ne lui permet ni de réutiliser ces données pour un nouveau scoring occulte, ni de les transmettre à des tiers sans base légale. Vérifiez donc que votre dossier refusé n’alimente pas indûment les rejets suivants, et demandez l’effacement des données qui ne répondent plus à une finalité légitime. Enfin, anticipez l’échéance du 20 novembre 2026 : l’autorisation légale nouvelle pour les décisions automatisées dans le crédit à la consommation ne supprime pas vos droits, elle les organise autour des mêmes garanties de transparence, d’intervention humaine et d’explicabilité. Un refus postérieur à cette date devra respecter ce cadre renforcé, et son non-respect ouvrira les mêmes voies de plainte et d’action en justice, avec une base légale encore plus lisible pour le juge.

Un crédit refusé par une machine n’est pas une fatalité ni une décision sans auteur. Le score qui a déterminé le refus est une décision individuelle automatisée, la banque doit en expliquer la logique dans un langage compréhensible, organiser votre réexamen par une personne et tenir compte de vos observations. À défaut, la Commission peut être saisie et le juge peut ordonner, réparer et sanctionner. La recommandation publiée en mai 2026, adossée aux arrêts SCHUFA et du 27 février 2025, donne à ces démarches un appui inédit : utilisez-le vite, par écrit, avec des pièces, avant que le refus ne se fige en historique défavorable dans les fichiers de la banque.

Besoin d’un avis rapide sur votre dossier

Vous avez reçu un refus de crédit fondé sur un score automatisé et vous souhaitez un avis sur votre dossier en numérique et données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, vous répond au 06 46 60 58 22. Vous pouvez aussi écrire via la page contact du cabinet pour une consultation téléphonique en 48 heures avec un avocat du cabinet.