Conclusions de l’avocat général relatives à l’interprétation de l’article 22 du RGPD dans l’affaire C634/21
Le 26 janvier 2023, la Cour de Justice de l’Union Européenne (CJUE) a tenu une audience dans l’affaire C634/21 relative au droit de ne pas être soumis à une prise de décision automatique. Au sens des conclusions de l’avocat général, l’établissement automatisé d’une valeur de probabilité concernant la capacité d’une personne à rembourser un prêt constitue une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques à l’égard de cette personne ou qui l’affecte de manière significative
Le jeudi 26 février 2023, la CJUE a tenu une audience dans la toute première affaire relative au droit de ne pas être soumis à une prise de décision automatique dans une affaire où il lui avait été demandé d’interpréter l’article 22 du RGPD.
En l’espèce, la société SCHUFA Holding AG (SCHUFA) a fourni à un établissement de crédit un score pour un citoyen qui a servi de base au refus d’accorder le crédit demandé par celui-ci. Le citoyen a demandé à la société d’effacer l’inscription le concernant et de lui donner accès aux données correspondantes. Or, la société s’est contentée de l’informer du score et des principes qui sous-tendent la méthode de calcul de celui-ci mais ne l’a pas informé des données spécifiques inclues dans ce calcul.
Par suite, le tribunal administratif de Wiesbaden a décidé de surseoir à statuer et de poser à la Cour des questions préjudicielles. La juridiction de renvoi a notamment demandé si le calcul d’un score effectué par une société fournissant des informations en matière de crédit relève de l’article 22, paragraphe 1 du RGPD lorsque le score obtenu est transmis à une entreprise qui s’en sert de manière déterminante pour adopter une décision relative à l’établissement, à l’exécution ou à la cessation d’une relation contractuelle avec la personne concernée.
Autrement dit, il convient de se demander si l’article 22, paragraphe 1 du RGPD s’applique aux sociétés fournissant des informations en matière de crédit qui mettent des scores à la disposition des entreprises financières.
Au sens des conclusions de l’avocat général présentées le 16 mars 2023 :
- Sur l’application de l’article 22 du RGPD :
- La procédure en cause constitue un « profilage » : Cela suppose l’existence d’un traitement automatisé de données à caractère personnel. En l’espèce, le scoring effectué par la société SCHUFA est une procédure qui utilise des données à caractère personnel afin d’évaluer certains aspects relatifs à des personnes physiques pour analyser ou prédire des éléments concernant leur situation économique, leur fiabilité et leur comportement probable.
- La décision produit des effets juridiques à l’égard de la personne concernée ou l’affecte de manière significative de façon similaire : Le refus d’une demande de crédit peut avoir des effets juridiques pour la personne concernée qui ne peut plus bénéficier d’une relation contractuelle avec l’établissement de crédit (le traitement d’une demande de crédit constituant une étape préalable à la conclusion d’un contrat de prêt). De plus, cela peut avoir une incidence sur la situation financière de la personne concernée.
- La décision est fondée exclusivement sur un traitement automatisé : Rien n’indique dans les faits, qu’en plus de la procédure mathématique et statistique appliquée par la société, les scores soient établis d’une quelconque manière déterminante au moyen d’une évaluation et d’une appréciation individuelles par un être humain.
- Sur l’application d’autres dispositions du RGPD (considérant 63, article 12 paragraphe 1, article 15 paragraphe 1) :
- La personne concernée a le droit d’obtenir du responsable de traitement la confirmation que des données à caractère personnel la concernant font ou non l’objet d’un traitement et d’autres informations la concernant telle une prise de décision automatisée, y compris le profilage, des informations significatives sur la logique utilisée, ainsi que l’importance et les conséquences envisagées d’un tel traitement pour la personne concernée.
- L’obligation de fournir des « informations utiles sur la logique utilisée » doit être comprise comme incluant des explications suffisamment détaillées sur la méthode utilisée pour calculer le score et les raisons d’une décision de refus.
Ainsi, au regard de ce qui précède, l’avocat général considère que l’établissement automatisé d’une valeur de probabilité concernant la capacité d’une personne à rembourser un prêt constitue une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques à l’égard de cette personne ou qui l’affecte de manière significative
