Decision automatisee et profilage (article 22 du RGPD) : ce qu'une TPE ou PME doit savoir
Publie le 11/11/2026 · Temps de lecture : 10 min
Un site de credit en ligne qui refuse automatiquement un dossier, un logiciel de recrutement qui ecarte des candidatures sans qu'aucun humain ne les relise, un comparateur d'assurance qui calcule une prime individuelle a partir d'un profil : dans chacun de ces cas, une machine prend seule une decision qui affecte concretement une personne. Le RGPD encadre precisement cette situation a son article 22, et les sanctions ne visent pas que les grandes plateformes : toute TPE ou PME qui integre un outil de scoring, un logiciel de tri de CV ou une tarification algorithmique est concernee.
Cet article explique ce que dit exactement l'article 22, dans quels cas une decision entierement automatisee reste autorisee, et quelles garanties concretes mettre en place pour rester conforme.
Sommaire
- 1. Que dit l'article 22 du RGPD ?
- 2. Le profilage, une notion plus large que la seule decision finale
- 3. Les trois exceptions qui autorisent une decision automatisee
- 4. Les garanties minimales a mettre en place
- 5. Le precedent Parcoursup : ce que la justice a tranche
- 6. Des cas concrets pour une TPE ou une PME
- 7. Ce qu'il faut ecrire dans la politique de confidentialite
- 8. Une analyse d'impact (AIPD) souvent obligatoire
- Questions frequentes
1. Que dit l'article 22 du RGPD ?
L'article 22-1 du RGPD pose un principe simple : toute personne a le droit de ne pas faire l'objet d'une decision fondee exclusivement sur un traitement automatise, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de maniere significative de facon similaire. Deux conditions doivent donc etre reunies pour que l'article s'applique : la decision doit etre prise sans aucune intervention humaine reelle dans le processus decisionnel, et elle doit avoir une consequence serieuse pour la personne, pas un simple desagrement.
Le considerant 71 du RGPD, qui accompagne et explicite l'article, donne deux exemples precis : le refus automatique d'une demande de credit en ligne etles pratiques de cyber-recrutement sans aucune intervention humaine. Ces deux exemples figurent dans le texte europeen lui-meme, ce qui en fait une reference directe pour qualifier un traitement.
2. Le profilage, une notion plus large que la seule decision finale
L'article 4, point 4, du RGPD definit le profilage comme toute forme de traitement automatise de donnees personnelles consistant a utiliser ces donnees pour evaluer certains aspects d'une personne physique, notamment pour analyser ou predire des elements concernant son rendement au travail, sa situation economique, sa sante, ses preferences personnelles, ses interets, sa fiabilite, son comportement, sa localisation ou ses deplacements.
Un outil peut donc faire du profilage (classer, noter, predire) sans que l'article 22 s'applique automatiquement : ce dernier ne vise que la decision finale lorsqu'elle est entierement automatisee et significative. Un algorithme qui attribue un score de risque a un client, mais dont le resultat est ensuite examine par un conseiller avant toute decision, fait du profilage sans relever pleinement de l'article 22. C'est cette distinction entre le calcul (le profilage) et la decision (automatisee ou non) qui determine le regime applicable.
3. Les trois exceptions qui autorisent une decision automatisee
L'article 22-2 du RGPD prevoit trois cas dans lesquels une decision entierement automatisee reste licite, malgre le principe d'interdiction pose au paragraphe 1 :
- La necessite contractuelle (a). La decision est necessaire a la conclusion ou a l'execution d'un contrat entre la personne et le responsable de traitement. C'est le cas typique d'un credit en ligne ou d'une souscription d'assurance instantanee : sans decision automatisee, le service ne pourrait simplement pas fonctionner a l'echelle proposee.
- L'autorisation par le droit de l'Union ou d'un Etat membre (b). Un texte national ou europeen autorise explicitement ce type de decision et fixe des mesures appropriees pour proteger les droits de la personne.
- Le consentement explicite (c). La personne a donne un consentement explicite, distinct du consentement general au traitement de ses donnees, specifiquement pour etre soumise a ce type de decision.
L'article 22-4 ajoute une restriction supplementaire : lorsque la decision repose sur des categories particulieres de donnees au sens de l'article 9 (origine raciale ou ethnique, opinions politiques, convictions religieuses, donnees de sante, orientation sexuelle...), seules les exceptions b et c peuvent s'appliquer, et uniquement si des mesures appropriees pour proteger les droits de la personne sont en place.
4. Les garanties minimales a mettre en place
Meme lorsqu'une des trois exceptions s'applique (cas a et c), l'article 22-3 du RGPD impose au responsable de traitement de mettre en oeuvre des mesures appropriees pour sauvegarder les droits, libertes et interets legitimes de la personne. Le texte precise trois garanties minimales que la personne doit pouvoir exercer :
- le droit d'obtenir une intervention humaine de la part du responsable de traitement ;
- le droit d'exprimer son point de vue sur la decision ;
- le droit de contester la decision.
En pratique, cela signifie qu'un canal de contact doit exister (adresse email dediee, formulaire, service client) et qu'une personne reellement habilitee doit pouvoir reexaminer le dossier, et non se contenter de relancer le meme algorithme. Un message automatique renvoyant vers une FAQ ne satisfait pas cette exigence.
5. Le precedent Parcoursup : ce que la justice a tranche
Le cadre francais pour les administrations va plus loin que le RGPD seul : l'article L. 311-3-1 du Code des relations entre le public et l'administration impose, depuis la loi pour une Republique numerique de 2016, que toute decision administrative individuelle prise sur le fondement d'un algorithme soit accompagnee d'une mention explicite et que les regles de cet algorithme puissent etre communiquees a la personne concernee si elle le demande.
C'est sur ce fondement que le Conseil constitutionnel a statue, dans sa decision n° 2020-834 QPC du 3 avril 2020 relative a la plateforme Parcoursup, que l'administration doit etre en mesure de communiquer aux candidats, sur leur demande et une fois la procedure d'affectation terminee, les criteres et modalites d'examen des voeux mis en oeuvre par les algorithmes utilises. Cette decision illustre un principe transposable au secteur prive : un algorithme qui influence significativement une personne ne peut pas rester une boite noire totalement incontestable.
6. Des cas concrets pour une TPE ou une PME
Le risque ne concerne pas que les grands organismes financiers. Plusieurs situations courantes en TPE/PME relevent directement de l'article 22 :
- Scoring credit ou paiement en plusieurs fois. Un site e-commerce qui integre une solution de paiement fractionne ou de credit instantane delegue en realite la decision a l'algorithme du prestataire de paiement : le commercant doit s'assurer que ce prestataire respecte les garanties de l'article 22, notamment la possibilite de contester un refus.
- Logiciels de recrutement (ATS) avec presélection automatique. Certains outils de gestion des candidatures permettent de filtrer ou noter les CV selon des criteres predefinis. Si le rejet d'une candidature est envoye automatiquement sans qu'un recruteur ne relise le dossier, le traitement correspond exactement a l'exemple du considerant 71.
- Tarification dynamique d'assurance ou d'abonnement. Un courtier ou une PME de services qui calcule automatiquement un prix individualise a partir du profil du client (historique, localisation, comportement) fait du profilage ; si le prix final est applique sans aucune possibilite de verification humaine en cas de contestation, l'article 22 s'applique pleinement.
7. Ce qu'il faut ecrire dans la politique de confidentialite
Les articles 13-2-f et 14-2-g du RGPD imposent une obligation d'information specifique, distincte des mentions generales deja requises par l'article 13. Lorsqu'un traitement relevant de l'article 22-1 et 22-4 existe, la personne doit etre informee, au moment de la collecte de ses donnees :
- de l'existence d'une prise de decision automatisee, y compris le profilage ;
- d'informations utiles concernant la logique sous-jacente ;
- de l'importance et des consequences prevues de ce traitement pour la personne.
Il ne s'agit pas de publier le code source de l'algorithme, mais d'expliquer en langage clair quels facteurs sont pris en compte et quel type de decision peut en resulter (acceptation ou refus d'un credit, classement d'une candidature, montant d'une prime). Si vous utilisez ConformiteFacile pour generer votre politique de confidentialite, cette section doit etre ajoutee ou adaptee dans le modele dès qu'un tel traitement existe sur votre site ou dans vos outils metier, car aucun generateur automatique ne peut deviner la logique exacte d'un algorithme tiers que vous integrez.
8. Une analyse d'impact (AIPD) souvent obligatoire
L'article 35-3-a du RGPD liste explicitement, parmi les cas ou une analyse d'impact relative a la protection des donnees (AIPD) est obligatoire, « l'evaluation systematique et approfondie d'aspects personnels concernant des personnes physiques, fondee sur un traitement automatise, y compris le profilage, et sur la base de laquelle sont prises des decisions produisant des effets juridiques a l'egard d'une personne physique ou l'affectant de maniere significative de facon similaire ». Une TPE ou une PME qui met en place un scoring client, un outil de notation de credit ou un systeme de tri automatise de candidatures doit donc, avant le deploiement, verifier si une AIPD est necessaire plutot que de le decouvrir lors d'un controle de la CNIL.
Documentez vos traitements automatises simplement
ConformiteFacile vous aide a tenir votre registre des traitements et a generer une politique de confidentialite a jour, y compris pour les traitements impliquant un scoring ou une decision automatisee.
Voir les tarifsQuestions frequentes
Un outil de tri automatique des CV est-il concerne par l'article 22 du RGPD ?
Oui si aucune personne n'intervient pour valider le rejet d'une candidature et que ce rejet produit un effet significatif pour le candidat (il est ecarte du processus sans examen humain). Le considerant 71 du RGPD cite explicitement « les pratiques de cyber-recrutement sans aucune intervention humaine » comme exemple de decision relevant de l'article 22. Si un recruteur relit et valide chaque decision du logiciel avant de repondre au candidat, la decision n'est plus « exclusivement » automatisee et l'article 22 ne s'applique pas de la meme maniere.
Un refus automatique de credit en ligne est-il autorise par le RGPD ?
Il peut l'etre, car l'article 22-2-a du RGPD autorise une decision entierement automatisee lorsqu'elle est necessaire a la conclusion ou a l'execution d'un contrat entre la personne et le responsable de traitement, ce qui couvre typiquement l'octroi d'un credit en ligne. Mais cette exception n'est pas un blanc-seing : l'organisme doit alors mettre en place les garanties minimales de l'article 22-3, notamment le droit pour le client d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la decision.
Un chatbot qui refuse automatiquement un remboursement declenche-t-il l'article 22 ?
Cela depend de l'effet produit. Si le chatbot se contente d'orienter vers un formulaire ou un conseiller, il n'y a pas de decision automatisee au sens de l'article 22. Si en revanche il rejette definitivement la demande sans aucune possibilite de relecture humaine, et que ce refus affecte significativement le client (perte financiere, acces a un service), l'article 22 s'applique et les garanties de contestation et d'intervention humaine deviennent obligatoires.
Que doit faire concretement une TPE qui utilise un algorithme de scoring ou de tarification ?
Trois actions minimales : verifier si une personne humaine examine reellement chaque decision defavorable avant qu'elle ne soit notifiee (si oui, l'article 22 ne s'applique pas de la meme facon) ; informer les personnes, dans la politique de confidentialite, de l'existence de ce traitement automatise, de sa logique sous-jacente et des consequences prevues pour elles (articles 13-2-f et 14-2-g du RGPD) ; et mettre en place un canal simple pour qu'une personne puisse demander une revision humaine de la decision.
A lire aussi
Achat ou location de fichiers de prospection : ce que le RGPD exige avant d'utiliser une base de contacts achetee
Lire
Prospection par SMS : les regles RGPD specifiques que l'e-mailing ne couvre pas
Lire