Profilage et décision entièrement automatisée

Qu’est-ce qu’une décision entièrement automatisée ?

Il s’agit d’une décision prise à l’égard d’une personne, par le biais d’algorithmes appliqués à ses données personnelles, sans qu’aucun être humain n’intervienne dans le processus.

Les décisions automatisées peuvent intervenir dans de nombreux domaines d’activité (finance, fiscalité, marketing, etc.) et produire des effets juridiques ou des effets significatifs pour les personnes concernées.

Par exemple, une décision de refus de crédit peut avoir pour seul fondement l’utilisation d’un algorithme qui applique automatiquement certains critères à la situation financière du demandeur, sans aucune intervention humaine.

Le RGPD prévoit des règles plus restrictives dans ces cas, pour éviter que l’homme ne subisse ces décisions émanant uniquement de machines. L’article 22 du RGPD encadre ainsi les processus de prise de décision entièrement automatisés, lorsqu’elles produisent des effets juridiques ou des effets significatifs.

Quelles catégories de décisions sont concernées ?

L’article 22 du RGPD s’applique aux traitements fondant exclusivement les décisions « produisant des effets juridiques » ou « affectant de manière significative » les personnes.  

Une décision produit un effet juridique lorsqu’elle impacte les droits et libertés de la personne. Par exemple, une décision affectant la liberté d’aller et venir des personnes, leur liberté de réunion et leurs droits contractuels, les privant du bénéfice d’une prestation sociale ou d’une prestation individuelle qu’ils avaient souscrite.

Une décision peut également avoir un impact significatif, similaire à un effet juridique, lorsqu’elle a pour conséquence d’influencer l’environnement de la personne, son comportement, ses choix ou d’aboutir à une forme de discrimination. Par exemple, une décision qui a des conséquences sur la situation financière de quelqu’un ou qui entraîne une application de tarifs plus élevés l’affecte de manière significative.

Quels liens entre profilage et décision automatisée ?

En pratique, les deux notions sont intimement liées : profiler une personne conduit fréquemment à prendre une décision à son sujet et de nombreuses décisions entièrement automatisées sont prises sur la base d’un profilage. L’établissement de profils et le recours à des algorithmes appliqués à des jeux de données personnelles peuvent ainsi mener à la prise de décisions entièrement automatisées, dans des domaines aussi divers que la santé, l’éducation, l’assurance, la protection sociale, la lutte contre la fraude, etc.

Il s’agit néanmoins de notions distinctes : une décision peut être prise sans recourir à un traitement de profilage et un profilage n’aboutit pas nécessairement à une prise de décision automatisée. Par exemple, un système de détection des infractions au code de la route qui aboutit à des amendes automatiques ne nécessite pas de profilage, mais implique pourtant une décision exclusivement automatisée.

Quelles règles applicables à ces traitements ?

Tout traitement de profilage doit faire l’objet d’une attention particulière, car il soulève par nature des risques importants pour les droits et libertés des personnes. Les dispositions du RGPD doivent donc être appliquées à ces traitements en tenant compte de cette spécificité, par exemple en assurant la plus grande transparence et le respect des droits des personnes concernées par le profilage réalisé.

Des règles particulières encadrent la décision entièrement automatisée (article 22 du RGPD), qu’elle soit fondée sur un profilage ou non : par principe, les individus ont le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé et produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire. Des exceptions sont néanmoins prévues et, dans ce cas, des garanties spécifiques doivent encadrer le traitement fondant une telle décision.  

Toutes les décisions entièrement automatisées sont-elles interdites ?

Non. Le règlement européen sur la protection des données (RGPD) prévoit que, dans certains cas particuliers, une personne peut faire l’objet d’une décision entièrement automatisée, même si cette dernière a un effet juridique ou un impact significatif sur elle.

Ces exceptions concernent :

• les décisions fondées sur le consentement explicite des personnes concernées,
• les décisions nécessaires à la conclusion ou à l'exécution d'un contrat,
• les décisions encadrées par des dispositions légales spécifiques.

Dans ces cas, des garanties spécifiques doivent être prévues afin de limiter les risques d’arbitraire soulevés par une telle prise de décision.

Quelles mesures doivent être prises dans le cadre d’une prise de décision entièrement automatisée ?

Les personnes concernées ont des droits supplémentaires lorsqu’une décision entièrement automatisée est prise à leur égard et les affecte particulièrement.

Des obligations spécifiques de transparence sont prévues : les personnes doivent être informées, lors de la collecte de leurs données et à tout moment sur leur demande, de l’existence d’une telle décision, de la logique sous-jacente ainsi que de l’importance et des conséquences prévues de cette décision.

Un droit à une intervention humaine leur est également accordé : toute personne ayant fait l’objet d’une telle décision peut demander qu’une personne humaine intervienne, notamment afin d’obtenir un réexamen de sa situation, d’exprimer son propre point de vue, d'obtenir une explication sur la décision prise ou de contester la décision.

Les traitements de profilage et les traitements fondant des décisions entièrement automatisées sont soumis aux autres dispositions du RGPD, qui doivent être appliquées en tenant compte des risques présentés, par exemple en matière de sécurité et de mise à jour des données.