Décision automatisée : vos droits face aux algorithmes

Une décision prise uniquement par un logiciel, sans qu'aucune personne ne l'examine, et qui produit sur vous un effet juridique ou significatif (refus de crédit, fermeture de compte, candidature écartée), est en principe interdite par l'article 22 du RGPD. Quand elle est malgré tout autorisée, vous conservez trois droits : obtenir un réexamen humain, faire valoir votre point de vue, contester le résultat.

825 millions d'euros pour avoir laissé la machine trancher

Le 24 août 2026, la CNIL a relayé une sanction prononcée par son homologue néerlandaise, autorité chef de file pour Uber en Europe : une amende de 824 990 000 euros, la deuxième plus lourde jamais infligée au titre du RGPD. Le grief central ne porte ni sur un piratage, ni sur un transfert de fichiers, mais sur un mode de fonctionnement : des comptes de chauffeurs ont été désactivés à la suite d'alertes générées par des systèmes automatisés, sur des soupçons de fraude ou une note trop basse, sans que ces personnes reçoivent une information suffisante et, dans des cas identifiés, sans réexamen humain effectif. La procédure trouve son origine dans une plainte collective déposée en 2020 par la Ligue des droits de l'Homme pour plus de 170 chauffeurs, et vise des faits survenus en Europe entre 2018 et 2022. Les détails figurent dans la communication de la CNIL sur cette sanction. Uber conteste la lecture retenue et affirme que ses procédures prévoyaient des revues humaines et des voies de contestation.

Retenez le raisonnement plutôt que le montant. Ce qui est sanctionné ici, c'est le fait de faire produire à un score des effets immédiats sur la vie d'une personne sans lui laisser d'interlocuteur. Ce schéma n'a rien de propre au transport de personnes : il décrit exactement ce qui se passe quand un compte marchand est suspendu du jour au lendemain, quand un dossier de financement revient refusé en trois secondes, ou quand une commande est annulée pour « risque » sans autre explication.

Où des algorithmes décident déjà à votre sujet

Le mot profilage désigne une opération simple à se représenter : un système compile ce qu'il sait de vous, vous compare à des milliers de dossiers passés, et en déduit une prévision de comportement. Le résultat est souvent condensé en un score, c'est-à-dire une note de risque. Ce n'est pas un jugement sur vous, c'est un pari statistique sur des personnes qui vous ressemblent selon les critères retenus par le modèle. La nuance est essentielle, parce qu'elle explique pourquoi un dossier solide peut être écarté par ressemblance avec des profils défaillants.

Les situations concrètes sont plus nombreuses qu'on ne l'imagine :

• Crédit et financement : la CNIL rappelle dans sa fiche sur le refus de crédit que les établissements peuvent recourir à des modèles statistiques ou à des outils d'intelligence artificielle pour évaluer votre solvabilité, à condition de rester transparents et non discriminatoires. Une inscription au FICP (incidents de remboursement) ou au FCC (chèques) pèse lourdement, et l'établissement doit vous signaler quand le refus découle du FICP.
• Paiement fractionné et e-commerce : le refus d'un paiement en plusieurs fois, ou l'annulation automatique d'une commande jugée risquée, repose sur un score calculé en temps réel à partir de votre adresse, de votre appareil et parfois de données achetées à l'extérieur.
• Blocage de compte bancaire ou de portefeuille en ligne : les dispositifs de lutte contre la fraude déclenchent des gels d'accès qui, s'ils ne sont jamais repris par un analyste, entrent dans le champ de l'article 22.
• Suspension de compte sur une plateforme : vendeur, hôte, chauffeur, prestataire indépendant. Quand l'activité dépend du compte, l'effet est significatif au sens du texte.
• Recrutement et logement : tri automatique de candidatures, présélection de dossiers de location par notation. L'intervention humaine existe souvent, mais elle arrive après un premier filtre que personne n'a relu.

Ce que le texte interdit exactement, et les trois portes de sortie

L'article 22 pose une règle d'interdiction, ce qui est plus favorable qu'un simple droit d'opposition à activer. Encore faut-il que deux conditions soient réunies. La décision doit être exclusivement automatisée, et elle doit produire un effet juridique ou vous affecter de manière significative. Un ciblage publicitaire ne franchit généralement pas ce seuil ; un refus de contrat, une résiliation, un accès coupé, oui.

La CNIL détaille les conditions dans sa fiche consacrée au profilage et à la décision entièrement automatisée. Trois exceptions permettent d'y recourir : la décision est nécessaire à la conclusion ou à l'exécution d'un contrat, elle repose sur votre consentement explicite, ou elle est prévue par un texte légal. Dans les deux premiers cas, des garanties minimales restent dues, et ce sont elles qui vous intéressent en pratique : obtenir une intervention humaine de la part du responsable de traitement, exprimer votre point de vue, contester la décision.

Le point qui décide de tout est le mot « exclusivement ». Un responsable de traitement peut être tenté d'ajouter un opérateur au bout de la chaîne pour sortir du champ de l'article. Cette parade ne tient que si la personne dispose réellement de l'autorité, du temps et des éléments nécessaires pour aboutir à une conclusion différente de celle du système. Une validation de forme ne transforme pas une décision automatique en décision humaine.

D'où viennent les données qui vous notent

Un modèle ne vaut que par ce qu'on lui donne à lire. Les variables utilisées proviennent de trois sources qui se recoupent : ce que vous avez déclaré vous-même, ce que l'entreprise a observé de votre comportement, et ce qu'elle a acheté à l'extérieur. C'est la troisième catégorie qui échappe le plus complètement à votre regard, parce qu'elle circule entre acteurs avec lesquels vous n'avez jamais eu de relation contractuelle. Le circuit de cette revente est décrit en détail dans notre dossier sur les courtiers de données et la revente de profils.

La conséquence est directe. Une fiche commerciale erronée ou périmée à votre nom, une ancienne adresse associée à un impayé qui n'est pas le vôtre, une catégorie socio-démographique attribuée par déduction : ces éléments alimentent des scores auxquels vous n'avez pas accès, dans des dossiers que vous ne saurez jamais avoir été refusés. Agir sur le stock de données en circulation est donc une mesure de fond, pas un geste de confort.

Contester une décision automatisée en cinq étapes

La procédure ci-dessous est volontairement écrite pour être suivie sans juriste. Elle repose sur un principe : chaque étape doit laisser une trace datée.

• 1. Figer les faits : notez la date et l'heure exactes, le canal (application, e-mail, site), le numéro de dossier, le libellé du refus mot pour mot, et conservez une capture d'écran. Un motif générique du type « critères internes » se conteste beaucoup mieux quand il est cité littéralement.
• 2. Écrire au bon destinataire : adressez votre demande au responsable de traitement ou à son délégué à la protection des données, dont les coordonnées figurent dans la politique de confidentialité. Le service client de premier niveau n'est pas l'interlocuteur prévu par le RGPD et perdra votre demande dans un flux de réclamations commerciales.
• 3. Poser les deux questions utiles : demandez d'abord la confirmation qu'il s'agit d'une décision entièrement automatisée, ainsi que des informations utiles sur la logique sous-jacente et les conséquences prévues (article 15). Demandez ensuite, au titre de l'article 22, l'intervention d'une personne physique, en joignant les éléments que le système n'a pas pu prendre en compte.
• 4. Tenir le calendrier : la réponse est due dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes, à condition que ce report vous soit notifié et motivé. Passé ce délai, l'absence de réponse devient elle-même un élément de votre dossier.
• 5. Escalader : plainte en ligne auprès de la CNIL (gratuite, sans avocat), médiateur du secteur concerné pour la dimension contractuelle, et le cas échéant voie judiciaire. Ces recours se cumulent : saisir la CNIL ne vous ferme aucune autre porte.

Formulation à reprendre dans votre courrier

« Madame, Monsieur, le [date], ma demande référencée [numéro] a fait l'objet d'un refus. Je vous demande de me confirmer si cette décision a été prise sur le seul fondement d'un traitement automatisé, y compris un profilage. Dans l'affirmative, je vous demande, au titre de l'article 15 du RGPD, les informations utiles concernant la logique sous-jacente ainsi que l'importance et les conséquences prévues de ce traitement pour moi. »

« Je vous demande en outre, au titre de l'article 22.3 du RGPD, l'intervention d'une personne physique de votre part, la possibilité d'exprimer mon point de vue et de contester la décision. Je joins à cet effet les éléments suivants : [pièces]. Je vous rappelle que votre réponse est attendue dans le délai d'un mois prévu à l'article 12.3. »

Les limites qu'il faut connaître avant d'écrire

Un dossier bien construit tient compte de ce que le texte ne promet pas. Trois précisions évitent des attentes déçues.

Le RGPD ne crée pas un droit au contrat. Comme le rappelle la CNIL à propos du crédit, un établissement reste libre de refuser : l'obligation porte sur la loyauté du traitement, l'information et la possibilité d'un réexamen, pas sur le résultat. Obtenir un examen humain sérieux et voir sa demande de nouveau refusée est une issue juridiquement régulière.

La logique n'est pas le code source. Vous avez droit à des informations utiles sur les critères et leur poids relatif, formulées de façon compréhensible, pas à la remise de l'algorithme, que le secret des affaires protège. Une réponse acceptable ressemble à : « les critères déterminants ont été le taux d'endettement, l'ancienneté professionnelle et l'historique d'incidents ». Une réponse inacceptable se limite à : « décision issue de notre outil de scoring ».

La CNIL ne réforme pas la décision. Elle contrôle et sanctionne un manquement, elle n'annule pas un refus ni ne rouvre un compte. Le levier de réouverture reste la contestation adressée à l'entreprise elle-même, que la perspective d'une plainte rend nettement plus sérieuse aux yeux d'un service conformité.

Réduire la surface d'attaque de votre profil

Contester après coup est indispensable, mais c'est une action défensive et tardive. En amont, quelques mesures diminuent durablement le volume d'informations exploitables à votre sujet, et donc la probabilité qu'un modèle vous classe à partir d'éléments faux ou obsolètes.

• Vérifier les fichiers qui pèsent le plus : le droit d'accès aux fichiers d'incidents de paiement s'exerce auprès de la Banque de France, gratuitement. Une inscription réglée mais non levée est une cause de refus fréquente et facile à corriger.
• Cloisonner vos adresses : une adresse dédiée par usage (banque, administration, achats) limite les recoupements entre bases et rend plus difficile la reconstitution d'un profil unique à partir de sources hétérogènes.
• Faire effacer ce qui n'a plus de raison d'être : anciens comptes dormants, formulaires de jeux-concours, comparateurs. Notre modèle de lettre de suppression au titre du RGPD couvre la rédaction et les mentions obligatoires.

Cet article présente le cadre applicable de manière générale et ne tient pas compte de votre situation particulière. Ceci n'est pas un conseil juridique. Pour un dossier engageant des sommes importantes ou un contentieux en cours, l'avis d'un professionnel du droit reste nécessaire.