Droit d'accès : expliquer les codes et scores internes

Une personne reçoit un fichier contenant « ST_04 », « Q=80 » et « SEG_B ». Les lignes ont été exportées correctement, mais elle ne peut pas comprendre ce qu’elles disent sur elle. Une réponse utile au droit d’accès doit restituer les valeurs et les éléments nécessaires à leur compréhension, sans inventer une explication que l’organisme ne possède pas.

Le travail consiste à relier le résultat individuel à son sens, à sa date, à sa source et à son utilisation. Il faut ensuite distinguer cette exigence générale de lisibilité des informations particulières requises pour certaines décisions automatisées.

Ce qu’il faut retenir

• Un code, une appréciation ou un score peut être une donnée personnelle lorsqu’il se rapporte à une personne.
• Conservez la valeur d’origine et expliquez sa signification pertinente, notamment lorsqu’elle a changé avec le temps.
• Un score ne relève pas automatiquement de l’Art. 22 ; son rôle dans la décision doit être examiné.
• La confidentialité interne et le secret d’affaires ne justifient pas un refus global sans analyse.

Restituer la donnée et son contexte

L’Art. 15(1) ouvre l’accès aux données personnelles traitées, accompagné des informations prévues par ce texte. L’Art. 12(1) impose une communication compréhensible, dans des termes clairs. Une colonne inconnue, une échelle non expliquée ou une date ambiguë peuvent rendre la copie inutilisable. RGPD, information et droit d’accès.

La qualification ne dépend pas du caractère « interne » du champ. Une note portée sur un dossier, une catégorie attribuée à un client ou un indicateur de risque peuvent se rapporter à une personne, même si elle ne les a pas fournis. L’Art. 4(1) ne limite pas les données personnelles aux renseignements directement déclarés par leur titulaire. RGPD, définition.

Pour chaque champ, demandez au métier et à l’équipe technique : que décrit-il, à quelle date, avec quelle échelle et pour quel usage ? Le nombre « 80 » peut être un pourcentage de complétude, un rang ou un identifiant. Il serait trompeur de l’appeler « probabilité de risque » si le système ne lui attribue pas ce sens.

Ne remplacez pas une catégorie défavorable par une formule rassurante. Une restitution fidèle peut présenter le code original puis sa traduction. Dans une copie volumineuse de dossier, placez le dictionnaire dans un document de lecture repérable et reliez-le aux colonnes concernées.

Construire une explication à quatre niveaux

Une méthode pratique consiste à documenter quatre éléments distincts :

Cette grille n’autorise pas à reconstituer un récit plausible à partir de la seule valeur. La règle actuelle peut différer de celle qui produisait le score ancien. Un paramètre décrit dans un manuel commercial peut ne jamais avoir été activé pour ce client.

Cherchez les documents applicables à la période : dictionnaire de données, version de règle, paramétrage, historique et instructions du service. Une incertitude doit rester visible tant qu’elle n’est pas résolue. Elle ne doit devenir ni « aucun effet » ni une explication définitive par défaut.

Dossier D-80 : expliquer un indice de complétude

L’exemple suivant est fictif. Un organisme utilise un portail de demandes. Pour le dossier de Nora, une extraction du 12 septembre comporte les champs suivants :

Le calcul est 8 ÷ 10 × 100 = 80. Dans ce scénario, chaque champ compte de la même manière. L’indice ne mesure ni la solvabilité de Nora, ni sa fiabilité, ni la probabilité d’une fraude. Il indique uniquement l’état des dix rubriques suivies au moment du calcul.

Le responsable ajoute un extrait explicatif :

Le 12 septembre, notre outil indiquait huit rubriques renseignées sur dix. Le code postal et la pièce attendue apparaissaient manquants. Cet indice a orienté votre dossier vers un agent. Il n’a pas, dans ce dossier, prononcé un refus automatique. La mention ST_04 correspond à cette transmission pour vérification.

Cet extrait suppose que ces faits aient été effectivement vérifiés. Il complète les données et informations dues ; il n’est pas une réponse complète à l’Art. 15. Le fichier doit aussi permettre à Nora de reconnaître les champs concernés et les données utilisées, sans se contenter de compter des rubriques anonymes.

Séparer le résultat historique de l’état actuel

Dans D-80, Nora a complété son dossier le 14 septembre. Une copie limitée à la valeur actuelle pourrait masquer l’orientation intervenue deux jours auparavant. À l’inverse, présenter la valeur du 12 septembre comme l’état actuel ferait croire que les informations sont encore absentes.

La réponse précise donc les deux dates et le sens de chaque événement. Si une correction est intervenue, elle décrit la correction sans effacer la trace exacte de ce qui avait été enregistré, lorsque sa conservation demeure justifiée. Le principe d’exactitude s’apprécie au regard des finalités du traitement. Art. 5(1)(d) et (e), RGPD.

Supposons aussi que la version 4 du logiciel utilise ST_04 pour « dossier clôturé ». Cette définition actuelle ne doit pas être appliquée aux lignes produites sous la version 3. Conservez le rattachement entre date, version et libellé. Si ce rattachement manque, recherchez-le au lieu d’utiliser automatiquement le dictionnaire le plus récent.

Les commentaires doivent être présentés selon leur nature. « L’agent estime le justificatif insuffisant » décrit une appréciation enregistrée ; cela ne prouve pas, à soi seul, que le justificatif était objectivement invalide. La réponse doit éviter cette transformation du jugement en fait établi.

Examiner le rôle du score dans une décision automatisée

L’existence d’un calcul ne suffit pas pour appliquer l’Art. 22(1). Il faut examiner une décision fondée exclusivement sur un traitement automatisé et produisant des effets juridiques ou affectant la personne de manière significative de façon similaire. Une intervention humaine seulement apparente ne règle pas la question. Art. 22(1) à (4), RGPD.

Dans D-80, l’hypothèse retient un agent qui examine réellement les pièces, peut corriger l’orientation et prend la décision avant tout effet défavorable. Ce fonctionnement doit être vérifié dans les faits. Si l’outil refuse déjà la demande et que l’agent ne peut que confirmer après coup, l’analyse serait différente.

Le commentaire de l’article 22 aide à qualifier ce mécanisme. Ne limitez pas l’analyse au bouton final : recherchez si le score détermine en pratique le résultat, comment les exceptions sont traitées et quel pouvoir possède la personne chargée de la revue.

Même lorsqu’un traitement ne relève pas de l’Art. 22, les données et les explications nécessaires à leur intelligibilité ne deviennent pas inaccessibles. La réponse ne peut se résumer à « aucune décision automatisée, donc aucun score à communiquer ».

Ce qu’apporte l’affaire Dun & Bradstreet

Dans son arrêt du 27 février 2025, C-203/22, la Cour de justice examine l’information sur la logique d’une décision automatisée. Sa présentation officielle souligne que l’explication doit permettre de comprendre quelles données ont été utilisées et comment. Une simple communication d’algorithme ne satisfait pas cette exigence. Présentation de l’arrêt par la Cour.

L’Art. 15(1)(h) vise l’existence des décisions automatisées mentionnées à l’Art. 22(1) et (4), ainsi que, au moins dans ces cas, les informations utiles sur leur logique, leur importance et leurs conséquences prévues. Il ne s’agit pas seulement de livrer une formule générale ou un score final. RGPD, Art. 15(1)(h).

Pour préparer la réponse, reliez les données d’entrée pertinentes, la procédure effectivement appliquée, le résultat individuel et son utilisation. Une présentation de tous les modèles disponibles chez l’éditeur ne décrit pas nécessairement celui utilisé pour la personne.

Une comparaison montrant l’effet d’une variation des données peut contribuer à l’explication, comme l’indique la Cour. Elle doit correspondre au mécanisme réel. N’inventez pas un seuil ou une pondération pour simplifier un modèle que l’équipe ne comprend pas.

Concilier les droits des tiers et les secrets protégés

Le caractère confidentiel d’une note ne suffit pas à exclure toutes les données qu’elle contient. Identifiez les droits concurrents et les adaptations possibles : explication contextualisée, extrait ou occultation ciblée. L’Art. 15(4) impose de tenir compte des droits et libertés d’autrui. RGPD, copie et droits des tiers.

Dans C-203/22, la Cour indique que les informations invoquées comme protégées doivent être communiquées à l’autorité ou à la juridiction compétente pour la mise en balance. Le secret d’affaires ne permet donc pas une exclusion automatique du droit d’accès. Présentation officielle, secret d’affaires.

Notre guide de l’occultation des données de tiers détaille la préparation d’une copie fidèle. Distinguez ce qui peut être expliqué sans divulguer un secret et ce qui nécessite un arbitrage. Ni le refus global ni la remise indiscriminée d’informations de tiers ne constitue une solution par défaut.

Relire la réponse et traiter une contestation

Faites relire une copie fictive par une personne qui ne connaît pas le logiciel. Peut-elle distinguer valeur ancienne et actuelle, comprendre l’échelle et identifier la conséquence constatée ? Cette revue révèle les mots obscurs ; elle ne remplace pas la vérification technique du sens des données.

Si Nora conteste la mention de pièce manquante en produisant un accusé de réception antérieur, l’organisme doit rechercher le rattachement effectif de cette pièce. Une erreur d’import peut avoir alimenté l’indice. La rectification des bases dérivées traite alors le calcul et ses usages, pas seulement le commentaire joint à la réponse.

Les Art. 16, 18(1)(a) et 19 encadrent, selon la situation, la rectification, la limitation pendant la vérification et la notification aux destinataires. La contestation d’un résultat ne signifie pas automatiquement que toute appréciation est fausse ; elle impose de traiter précisément les éléments discutés. RGPD, rectification et limitation.

FAQ

Faut-il fournir tout le code source ?

Le droit d’accès ne se résume pas à une obligation générale de remettre le code source. Il exige les données et informations juridiquement dues sous une forme intelligible ; une formule seule peut être insuffisante.

Peut-on expliquer uniquement la version actuelle du score ?

Non si elle ne correspond pas au résultat concerné. Recherchez la version pertinente, sa date et le sens des champs. Signalez les incertitudes réelles sans leur substituer une explication inventée.

Une mauvaise note doit-elle toujours être supprimée ?

Examinez la donnée, sa finalité et la contestation. Une information factuelle inexacte, une appréciation enregistrée et un résultat correctement calculé sur des données erronées appellent des vérifications et corrections différentes.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.