Une décision automatisée vous a été opposée : ce que vous pouvez exiger

« C’est l’algorithme » n’est pas une réponse. Lorsqu’une décision importante a été prise à partir de vos données par un traitement automatisé, vous pouvez exiger qu’on vous explique la procédure et les principes concrètement appliqués à vos données pour aboutir à ce résultat — et, dans les cas prévus par le règlement, obtenir une intervention humaine et contester la décision.

---

Information juridique générale — droit de l’Union européenne et droit français, textes et décisions vérifiés dans leur rédaction en vigueur au 3 septembre 2026.

1. Commencez par établir ce qui a réellement décidé

Le fait qu’un algorithme, un score ou un système d’intelligence artificielle soit intervenu ne rend pas la décision illégale. Ce qui déclenche le régime protecteur, c’est le caractère exclusivement automatisé de la décision, jointe à ses effets.

Le règlement pose le principe : la personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire (RGPD, article 22, paragraphe 1). Un refus automatique de crédit peut entrer dans cette catégorie ; une candidature écartée sans examen, ou une décision conditionnant l’accès à un service important, également.

La présence d’un humain dans le processus ne suffit pas à écarter le régime. Ce qui compte est la marge d’appréciation dont cette personne disposait réellement. Une validation formelle d’un résultat produit par le système n’a pas le même sens qu’un examen susceptible de le remettre en cause.

2. Deux demandes distinctes, et deux fondements distincts

La confusion la plus fréquente consiste à mélanger l’accès aux données et l’explication du résultat. Ce sont deux choses, sur deux fondements, et les demander séparément rend la démarche plus difficile à éluder.

La première demande a un intérêt immédiat : une décision peut reposer sur une donnée erronée, périmée, attribuée à une autre personne, ou exacte mais dépourvue de la portée qu’on lui a prêtée. Un score calculé sur des informations incorrectes produit un refus parfaitement cohérent pour le système, et injustifié au regard de votre situation.

3. Ce qu’une explication doit contenir — et ce qui ne suffit pas

La Cour de justice de l’Union européenne a fixé le niveau d’exigence le 27 février 2025, dans l’affaire Dun & Bradstreet Austria. La personne concernée peut exiger que le responsable du traitement lui explique « la procédure et les principes concrètement appliqués pour exploiter, par la voie automatisée, les données à caractère personnel relatives à cette personne aux fins d’en obtenir un résultat déterminé », au moyen d’informations pertinentes et d’une façon concise, transparente, compréhensible et aisément accessible.

Deux réponses opposées sont écartées par le même arrêt, et c’est le point le plus utile pour rédiger votre demande. Ne satisfait à ces exigences ni la simple communication d’une formule mathématique complexe, tel un algorithme, ni la description détaillée de toutes les étapes de la prise de décision — aucune de ces modalités ne constituant une explication suffisamment concise et compréhensible.

La conséquence est double, et elle joue dans les deux sens. Vous ne pouvez pas exiger l’algorithme complet : ce n’est pas ce que le règlement rend accessible. Mais l’organisme ne peut pas non plus se retrancher derrière la complexité de son système — la Cour précise que celle-ci ne libère pas le responsable de son devoir d’explication.

L’explication doit vous permettre de comprendre lesquelles de vos données ont été utilisées, et de quelle manière, lors de la prise de décision. C’est en ces termes qu’il est utile de formuler la demande, plutôt qu’en réclamant « l’algorithme ».

4. Quand le score vient d’un autre acteur que celui qui décide

Un organisme soutient fréquemment qu’il n’a rien automatisé, s’étant borné à utiliser un score produit par un tiers. Cette séparation ne suffit pas toujours.

Dans l’affaire SCHUFA Holding, le 7 décembre 2023, la Cour de justice a jugé que l’établissement automatisé, par une société fournissant des informations commerciales, d’une valeur de probabilité concernant la capacité d’une personne à honorer des engagements de paiement à l’avenir constitue lui-même une décision individuelle automatisée au sens de l’article 22, paragraphe 1 — mais à une condition précise : lorsque dépend de manière déterminante de cette valeur de probabilité le fait que la tierce partie à laquelle elle est communiquée établisse, exécute ou mette fin à une relation contractuelle avec la personne.

Cette condition est le cœur de la solution, et elle se travaille sur les faits. La question n’est pas de savoir qui a signé la décision, mais quelle marge réelle restait à celui qui l’a prise une fois le score connu. Un établissement qui refuse systématiquement en dessous d’un seuil ne conserve guère de marge ; un établissement qui traite le score comme un élément parmi d’autres se trouve dans une autre situation.

La lecture inverse mérite d’être anticipée : le fournisseur de score soutiendra qu’il ne décide rien, et le décideur qu’il n’automatise rien. C’est précisément la configuration que la Cour a voulu empêcher, mais elle suppose d’établir le caractère déterminant — ce qui se démontre, notamment par les pratiques de l’organisme.

5. Le réexamen humain, et ce qu’il vaut

Le principe de l’article 22 connaît trois exceptions : la décision nécessaire à la conclusion ou à l’exécution d’un contrat entre vous et le responsable du traitement ; celle autorisée par le droit de l’Union ou d’un État membre prévoyant des mesures appropriées de sauvegarde ; celle fondée sur votre consentement explicite.

L’exception ne supprime pas la protection, elle la déplace. Dans les cas du contrat et du consentement explicite, le responsable du traitement doit mettre en œuvre des mesures appropriées de sauvegarde, au moins le droit d’obtenir une intervention humaine de sa part, d’exprimer votre point de vue et de contester la décision (article 22, paragraphe 3). Une décision fondée sur la nécessité contractuelle ouvre donc ces trois garanties, ce que beaucoup d’organismes ignorent.

Un réexamen utile ne consiste pas à faire confirmer le résultat par une personne qui n’a ni le temps ni les éléments pour le remettre en cause. Il suppose que votre situation et vos observations soient effectivement prises en considération. Transmettez donc, au moment de la demande, ce qui n’a pas pu l’être : changement de situation, pièce absente, donnée inexacte, circonstance particulière.

6. Le secret d’affaires n’arrête pas la discussion

L’invocation d’un algorithme propriétaire est la réponse la plus fréquente, et elle n’a pas l’effet qu’on lui prête.

La Cour de justice a jugé, dans le même arrêt de février 2025, que lorsque le responsable du traitement considère que les informations à fournir comportent des données de tiers protégées ou des secrets d’affaires au sens de la directive de 2016, il est tenu de communiquer ces informations prétendument protégées à l’autorité de contrôle ou à la juridiction compétentes, auxquelles il incombe de pondérer les droits et intérêts en cause afin de déterminer l’étendue de votre droit d’accès.

Autrement dit, le secret d’affaires ne vous est pas opposable comme une fin de non-recevoir : il déplace l’arbitrage vers la CNIL ou le juge. Une réponse qui se borne à invoquer la confidentialité appelle donc une réclamation, pas un abandon.

7. Les délais, et le passage par la CNIL

Le responsable du traitement doit vous informer des mesures prises à la suite de votre demande dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de sa réception. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes — mais il doit alors vous informer de la prolongation et de ses motifs dans le premier mois (RGPD, article 12, paragraphe 3).

Cette obligation d’informer dans le premier mois est utile : un silence complet à l’expiration du mois n’est pas une prolongation, c’est une absence de réponse.

La CNIL demande que vous ayez d’abord exercé vos droits auprès de l’organisme et conservé les preuves de la démarche avant de solliciter son intervention. En l’absence de réponse au terme du mois, vous pouvez la saisir. Si la réponse vous paraît incomplète ou erronée, elle recommande de la contester d’abord auprès de l’organisme, puis de la saisir si cela ne suffit pas.

Une limite doit être posée d’emblée : la CNIL intervient sur le terrain de la protection des données. Elle n’alloue pas de dommages et intérêts et ne tranche pas, à elle seule, un litige de crédit, de logement ou de travail. Selon les conséquences de la décision, une action devant la juridiction compétente peut être la seule voie utile — et les deux démarches ne s’excluent pas.

La demande à adresser

Une seule lettre, ou un seul courriel, adressé à l’organisme et à son délégué à la protection des données lorsqu’il en existe un. Datez-la, conservez-en copie, et demandez, point par point :

• la confirmation qu’une décision entièrement automatisée a été ou non utilisée, et le rôle joué par un éventuel score fourni par un tiers ;
• l’accès aux données à caractère personnel utilisées pour votre évaluation ;
• les informations utiles concernant la logique sous-jacente, c’est-à-dire lesquelles de vos données ont été utilisées et de quelle manière, ainsi que l’importance et les conséquences prévues du traitement ;
• lorsque les conditions sont réunies, une intervention humaine, la prise en compte de vos observations et le réexamen de la décision.

Joignez la date de la décision, la référence du dossier et ce qui permet de vous identifier — sans transmettre plus de données que nécessaire.

Trois situations

Un crédit refusé après l’attribution d’un score

Demandez si le refus a été déclenché par le score, quelles données ont servi à le calculer, et ce qui permet de comprendre comment votre profil a produit ce résultat. Si une personne est censée avoir décidé, cherchez à établir la marge dont elle disposait : c’est cette marge qui décide de l’application de l’article 22.

Une candidature écartée par un outil de tri

Le seul usage d’un logiciel de classement ne rend pas la décision entièrement automatisée. Mais si votre candidature a été éliminée sans examen humain réel et que cette élimination vous affecte de manière significative, demandez le rôle exact de l’outil, les données prises en compte, et le réexamen.

Un dossier locatif classé ou écarté

Distinguez celui qui calcule le score, celui qui décide, et la manière dont le premier résultat a pesé sur le second. C’est la chaîne de décision qui détermine les droits mobilisables, et contre qui les exercer.

Dans l’ordre

• Conservez le refus, les échanges, les captures d’écran, les documents transmis et la référence du dossier.
• Identifiez l’organisme décideur, son délégué à la protection des données, et l’éventuel fournisseur du score.
• Demandez par écrit si la décision était exclusivement automatisée, et quelle marge avait la personne qui l’a prise.
• Demandez séparément l’accès aux données utilisées et l’explication de la logique appliquée à votre cas.
• Vérifiez l’exactitude des données obtenues, et demandez leur rectification si elles sont erronées.
• Demandez l’intervention humaine et le réexamen en joignant ce qui n’a pas été pris en compte.
• Notez la date d’envoi : le mois court de la réception, et une prolongation doit vous être annoncée dans ce premier mois.
• À défaut de réponse ou de réponse utile, saisissez la CNIL — et examinez en parallèle le recours propre à la matière concernée.

Trois idées reçues

« Un humain a validé, donc l’article 22 ne s’applique pas. » Pas nécessairement. Une validation formelle n’équivaut pas à un examen susceptible de remettre en cause le résultat. La marge réelle est le critère.

« Je peux exiger l’algorithme. » Non, et la Cour de justice précise que sa communication ne constituerait de toute façon pas une explication satisfaisante. Ce qui se demande, c’est lesquelles de vos données ont été utilisées et comment.

« Ils invoquent le secret d’affaires, la discussion est close. » Elle est déplacée, pas close : les informations doivent alors être communiquées à l’autorité de contrôle ou au juge, à qui il revient de pondérer.

L’essentiel

Une décision algorithmique n’est pas incontestable parce qu’elle est complexe. Le premier enjeu est d’établir qui a réellement décidé et quel poids a eu le traitement automatisé — c’est cette qualification qui ouvre, ou non, les garanties de l’article 22.

Viennent ensuite deux demandes qu’il faut tenir distinctes : les données utilisées, dont vous pouvez vérifier l’exactitude, et l’explication du résultat, qui doit vous permettre de comprendre lesquelles de vos données ont pesé et de quelle manière.

La transparence algorithmique ne consiste donc pas à obtenir la divulgation d’un système. Elle consiste à comprendre assez de la décision qui vous concerne pour pouvoir l’attaquer utilement — et, symétriquement, elle impose à celui qui automatise l’évaluation d’une personne de rester capable de rendre compte des effets de son système.

Références

Ce mini-guide fournit une information juridique générale et ne constitue pas une consultation personnalisée. L’analyse des droits et des recours dépend de la décision concernée, de son degré réel d’automatisation et du cadre juridique applicable à la matière en cause.