Article 22 Décisions individuelles automatisées

Analyse juridique et portée de l'article 22

L'article 22 pose comme principe que les décisions produisant des effets juridiques ou des effets significatifs sur la personne ne peuvent pas être prises uniquement sur la base d'un traitement automatisé. Il vise notamment les décisions relatives à l'octroi d'un crédit, au recrutement, à la résiliation d'un contrat, à l'accès à un service ou à l'évaluation du comportement d'une personne.

Sur le plan juridique, cette disposition consacre un droit subjectif à l'intervention humaine dans les processus décisionnels sensibles. Elle ne prohibe pas l'utilisation d'outils automatisés, mais impose que ceux-ci ne soient pas les seuls déterminants de la décision finale lorsqu'elle a des conséquences importantes pour la personne concernée.

Ce mécanisme participe à la préservation de la dignité humaine et à la prévention des discriminations algorithmiques.

Notion de décision fondée exclusivement sur un traitement automatisé

Une décision est considérée comme fondée exclusivement sur un traitement automatisé lorsqu'aucune intervention humaine réelle et substantielle n'intervient dans le processus décisionnel. Une simple validation formelle ou automatique par un agent humain ne suffit pas à écarter l'application de l'article 22.

Le traitement automatisé inclut le profilage, défini à l'article 4, point 4, du RGPD comme toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique.

L'article 22 ne s'applique que lorsque la décision produit des effets juridiques ou affecte de manière significative la personne concernée, ce qui suppose une appréciation concrète de l'impact de la décision sur sa situation.

Exceptions au principe d'interdiction

Le RGPD prévoit trois hypothèses dans lesquelles une décision automatisée peut être licite. Il s'agit des décisions nécessaires à la conclusion ou à l'exécution d'un contrat, des décisions autorisées par le droit de l'Union ou le droit d'un État membre, et des décisions fondées sur le consentement explicite de la personne concernée.

Ces exceptions sont d'interprétation stricte. La nécessité contractuelle suppose que la décision automatisée soit objectivement indispensable à l'exécution du contrat et non simplement plus commode pour le responsable du traitement. Le consentement explicite doit répondre aux exigences renforcées prévues par le RGPD et ne peut être présumé.

Dans tous les cas, le responsable du traitement doit mettre en place des garanties appropriées pour protéger les droits de la personne concernée.

Garanties offertes à la personne concernée

Lorsque la décision automatisée est admise au titre des exceptions prévues par le règlement, la personne concernée doit bénéficier, a minima, du droit d'obtenir une intervention humaine, du droit d'exprimer son point de vue et du droit de contester la décision.

Ces garanties visent à réintroduire une dimension humaine dans le processus décisionnel et à permettre un réexamen individualisé de la situation. Elles traduisent la volonté du législateur européen d'éviter que les individus ne soient enfermés dans des logiques purement algorithmiques.

L'information relative à l'existence d'une décision automatisée et à sa logique sous-jacente doit également être fournie conformément aux articles 13, 14 et 15 du RGPD.

Données sensibles et décisions automatisées

L'article 22 interdit en principe que les décisions automatisées reposent sur les catégories particulières de données à caractère personnel mentionnées à l'article 9, telles que les données de santé, les données biométriques ou les opinions politiques.

Une dérogation n'est possible que lorsque le traitement est fondé sur le consentement explicite de la personne concernée ou lorsqu'il est justifié par un motif d'intérêt public important, sous réserve de la mise en place de garanties appropriées.

Cette restriction vise à prévenir les atteintes graves à la vie privée et les risques accrus de discrimination.

Articulation avec les autres dispositions du RGPD

L'article 22 s'articule étroitement avec les articles 13 et 14, qui imposent une obligation d'information sur l'existence d'une prise de décision automatisée, et avec l'article 15, qui consacre le droit d'accès aux informations relatives à la logique sous-jacente du traitement.

Il se rattache également aux principes posés à l'article 5, notamment ceux de licéité, de loyauté, de transparence et de minimisation des données, ainsi qu'aux exigences de protection des données dès la conception prévues à l'article 25.

Jurisprudence et pratique des autorités de contrôle

Les autorités de contrôle européennes, dont la CNIL, examinent avec une attention particulière les dispositifs de décision automatisée, en particulier dans les secteurs du crédit, de l'assurance, de l'emploi et des services numériques.

Elles sanctionnent les responsables de traitement qui mettent en œuvre des décisions automatisées sans base juridique valable ou sans garanties effectives permettant l'intervention humaine et la contestation de la décision.

La pratique décisionnelle souligne que la simple existence d'un support humain théorique ne suffit pas ; l'intervention humaine doit être réelle, compétente et susceptible d'influer sur la décision.

Recommandations de la CNIL et du CEPD

La CNIL recommande aux organisations de cartographier précisément leurs traitements automatisés et d'identifier ceux susceptibles de relever de l'article 22. Elle insiste sur la nécessité de documenter les logiques décisionnelles et de prévoir des procédures internes de réexamen humain.

Le Comité européen de la protection des données (CEPD) rappelle que l'article 22 constitue une garantie essentielle face à l'essor des systèmes algorithmiques et qu'il doit être interprété à la lumière des droits fondamentaux consacrés par la Charte des droits fondamentaux de l'Union européenne.