Lexique · Gouvernance & conformité
Profilage
Traitement automatisé de données personnelles qui consiste à les utiliser pour évaluer certains aspects personnels d'une personne, notamment pour analyser ou prédire son rendement au travail, sa situation économique, sa santé, ses préférences, sa fiabilité, son comportement ou ses déplacements (article 4.4 du RGPD).
- Rubrique
- Gouvernance
- Mise à jour
- Articles
- 2
Notions liées
Sources · 4
- [1] Chapitre I, dispositions générales : article 4 du règlement (UE) 2016/679 (CNIL)
- [2] Chapitre III, droits de la personne concernée : articles 21 et 22 du règlement (UE) 2016/679 (CNIL)
- [3] Profilage et décision entièrement automatisée (CNIL)
- [4] Vos droits à l'intervention humaine face à votre profilage ou à une décision automatisée (CNIL)
Ce que ça change pour une organisation
Le RGPD définit le profilage (article 4.4) comme toute forme de traitement automatisé de données personnelles consistant à les utiliser pour évaluer certains aspects personnels d’une personne physique, notamment pour analyser ou prédire son rendement au travail, sa situation économique, sa santé, ses préférences, ses intérêts, sa fiabilité, son comportement, sa localisation ou ses déplacements. La CNIL précise qu’il s’agit d’un traitement individualisé : les traitements purement statistiques, qui visent une vue d’ensemble d’un groupe, n’en relèvent pas.
Le profilage n’est pas interdit en soi, mais il doit respecter l’ensemble du RGPD (base légale, minimisation, transparence), la CNIL estimant qu’il soulève par nature des risques importants pour les personnes. Deux droits le concernent directement : la personne peut s’opposer à un traitement fondé sur l’intérêt légitime ou sur une mission d’intérêt public, y compris un profilage, et elle peut le faire sans motif lorsque le profilage sert à de la prospection (article 21). Lorsque le profilage conduit à une décision prise sans aucune intervention humaine et produisant des effets juridiques ou significatifs, les règles plus strictes de l’article 22 s’appliquent.
Exemple
Exemple générique : une compagnie d’assurance qui définit le coût d’une assurance automobile à partir du profil de chaque assuré réalise un profilage, au même titre qu’une banque qui évalue la situation financière d’un client avant un prêt ou qu’une régie publicitaire qui déduit les centres d’intérêt d’un internaute. Si le tarif ou le refus est ensuite appliqué sans intervention humaine et touche sensiblement la personne, l’article 22 s’ajoute à ces obligations.
À ne pas confondre avec
- La décision automatisée, qui désigne une décision prise par un algorithme sans intervention humaine : elle peut reposer sur un profilage, mais pas nécessairement (un radar qui émet des amendes automatiques n’établit aucun profil).
- Le profilage de données (data profiling), c’est-à-dire l’analyse de la qualité d’un jeu de données (valeurs manquantes, doublons), qui n’évalue aucune personne.
- Les traitements statistiques d’ensemble, qui décrivent un groupe sans construire de profil individualisé.
