Lexique · Gouvernance & conformité
Décision automatisée
Décision prise à l'égard d'une personne sur le seul fondement d'un traitement automatisé, sans intervention humaine, et produisant des effets juridiques ou l'affectant de manière significative. L'article 22 du RGPD l'interdit en principe, sauf contrat, texte légal ou consentement explicite, avec garanties.
- Rubrique
- Gouvernance
- Mise à jour
- Articles
- 2
Notions liées
Sources · 4
- [1] Chapitre III, droits de la personne concernée : article 22 du règlement (UE) 2016/679 (CNIL)
- [2] Profilage et décision entièrement automatisée (CNIL)
- [3] Arrêts dans l'affaire C-634/21, SCHUFA Holding (Scoring), communiqué de presse n° 186/23 (Cour de justice de l'Union européenne)
- [4] Décisions automatisées : sanction de près de 825 millions d'euros à l'encontre d'UBER (CNIL)
Ce que ça change pour une organisation
L’article 22 du RGPD reconnaît à chacun le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris un profilage, lorsqu’elle produit des effets juridiques ou l’affecte de manière significative de façon similaire (refus automatique de crédit, rejet d’une candidature en ligne).
Trois exceptions sont prévues : la décision est nécessaire à un contrat, elle est autorisée par le droit de l’Union ou d’un État membre, ou elle repose sur le consentement explicite de la personne. Pour le contrat et le consentement, l’organisation doit au minimum garantir le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision. La CNIL ajoute que les personnes doivent être informées de l’existence de la décision, de sa logique sous-jacente et de ses conséquences. Elles ne peuvent en principe pas reposer sur des données sensibles (article 22.4).
Exemple
Le 7 décembre 2023, la Cour de justice de l’Union européenne a jugé, dans l’affaire SCHUFA, que le « scoring » d’une société de renseignements commerciaux doit être considéré comme une décision individuelle automatisée, en principe interdite, dès lors que les banques clientes lui accordent un rôle déterminant dans l’octroi de crédits.
Plus récemment, l’autorité néerlandaise de protection des données, en coopération avec la CNIL, a infligé à Uber B.V. et à Uber Technologies Inc. une amende de 824 990 000 euros, annoncée par la CNIL le 24 août 2026. Elle a considéré que les désactivations de comptes de chauffeurs en cas de suspicion de fraude ou de notation basse étaient des décisions individuelles automatisées, faute de toute intervention humaine.
À ne pas confondre avec
- Le profilage, qui évalue des aspects personnels d’un individu et peut nourrir une décision sans en être une.
- Une décision assistée par un algorithme, qu’une personne apprécie réellement : l’article 22 ne vise que les décisions exclusivement automatisées, ce qui dépend du rôle effectif de l’outil (affaire SCHUFA).
- Le droit d’opposition, qui permet de refuser un traitement, alors que l’article 22 encadre la décision elle-même.
