Profilage RGPD : qualifier le score et ses effets

Un score peut seulement orienter l’affichage d’une information ou décider de l’accès à un service. Ces usages n’appellent pas la même analyse. Pour encadrer un profilage, décrivez les données utilisées, l’évaluation produite et ce que l’organisation fait effectivement du résultat.

Reconnaître le profilage

L’Art. 4(4) définit le profilage comme un traitement automatisé de données personnelles servant à évaluer certains aspects d’une personne, notamment sa situation économique, sa santé, ses préférences, sa fiabilité ou son comportement. Les trois éléments à rechercher sont l’automatisation, les données personnelles et l’évaluation. Source : RGPD, Art. 4(4).

Une simple classification n’est pas nécessairement un profilage : sa finalité compte. Les lignes directrices WP251 rev.01 distinguent ainsi une vue statistique de clientèle d’une appréciation des caractéristiques individuelles. La présence d’une participation humaine n’exclut pas non plus nécessairement un profilage. Source : WP251 rev.01, définition du profilage.

Qualifier séparément la décision

L’Art. 22(1) vise une décision fondée exclusivement sur un traitement automatisé, y compris un profilage, produisant des effets juridiques ou affectant la personne de manière significative similaire. Un profilage peut exister sans une telle décision ; une décision automatisée peut exister sans profilage. Source : RGPD, Art. 22.

Exemples hypothétiques : un score de risque sert à sélectionner un dossier pour un examen humain réel ; un autre provoque directement le blocage durable d’un service. Il faut examiner le processus complet et les effets, pas seulement le nom « recommandation » attribué au score.

Une validation humaine purement formelle ne permet pas d’écarter l’article 22. Les lignes directrices demandent une intervention significative, par une personne compétente et capable de modifier la décision. Documentez les éléments examinés et les pouvoirs de l’intervenant.

Le commentaire de l’article 22 précise les exceptions et garanties. Un traitement à finalité commerciale n’est pas automatiquement hors du champ : l’effet doit être apprécié dans son contexte.

Vérifier la licéité avant de choisir les garanties

Tout profilage doit respecter les principes et disposer d’une base de l’Art. 6(1). L’intérêt légitime n’autorise pas à profiler par défaut. Le contrat exige la nécessité objective pour son exécution ; inscrire un score dans les conditions générales ne suffit pas. Le consentement doit remplir ses propres conditions. Source : RGPD, Art. 5 à 7.

Si le profilage révèle des catégories particulières, ajoutez l’analyse de l’Art. 9. Pour une décision relevant de l’Art. 22 et fondée sur ces données, l’Art. 22(4) impose des conditions supplémentaires : exceptions de l’Art. 9(2)(a) ou (g) et mesures appropriées. Une exception quelconque de l’article 9 ne suffit donc pas dans ce cas.

La grille des données sensibles aide à repérer les informations inférées, en plus des champs explicitement collectés. Les règles particulières aux traceurs doivent également être examinées si le dispositif y recourt ; une base de l’article 6 ne remplace pas ces conditions.

Informer et organiser les droits

L’information doit expliquer les finalités et les usages réels, conformément aux Art. 12 à 14. Pour les décisions visées, les Art. 13(2)(f), 14(2)(g) et 15(1)(h) exigent notamment les informations utiles sur la logique, l’importance et les conséquences prévues.

Préparez une explication compréhensible reliant les données utilisées aux effets sur la personne. Une affirmation telle que « notre algorithme optimise le service » ne permet pas de comprendre une exclusion ou un changement de conditions.

L’Art. 21(1) prévoit l’opposition fondée sur la situation particulière pour les traitements reposant sur l’Art. 6(1)(e) ou (f). Les Art. 21(2) et (3) imposent l’arrêt de la prospection, y compris du profilage qui lui est lié, en cas d’opposition. Le guide du droit d’opposition distingue ces régimes et leur exécution.

Déterminer si une AIPD est nécessaire

L’Art. 35(3)(a) vise l’évaluation systématique et approfondie fondée sur un traitement automatisé, servant de base à des décisions produisant des effets juridiques ou similaires significatifs. L’Art. 35(1) impose plus généralement une AIPD lorsque le traitement est susceptible d’engendrer un risque élevé ; il faut aussi examiner les listes applicables. Source : RGPD, Art. 35.

Ne concluez pas seulement à partir du nombre de clients ou du mot « score ». Utilisez le guide de l’AIPD et examinez le niveau d’intrusion, les personnes, les données, les effets et les garanties. Une absence de décision relevant de l’article 22 ne dispense pas automatiquement d’AIPD.

Cas pratique : recommander des exercices sans enfermer l’élève

Cas entièrement hypothétique : une petite plateforme française propose des exercices d’espagnol à des adultes inscrits à titre personnel. Elle veut offrir, en option, des recommandations adaptées aux réponses données. Tous les exercices restent accessibles au même prix et dans les mêmes conditions sans cette option ; le classement ne sert ni à délivrer un diplôme ni à sélectionner des candidats.

La responsable distingue trois objets : les réponses brutes à un exercice, l’évaluation d’une compétence et la liste d’exercices suggérés. Compter les inscriptions mensuelles ne constitue pas, à lui seul, une appréciation individuelle. En revanche, attribuer automatiquement à Claire la catégorie « conjugaison à renforcer » à partir de ses réponses évalue un aspect personnel : c’est du profilage.

Dans le périmètre décrit, une suggestion facultative qui ne conditionne aucun accès ne produit pas les effets visés à l’Art. 22(1). La conclusion changerait si la même catégorie fermait automatiquement l’accès à une formation ou déterminait une décision importante pour l’élève. L’entreprise inscrit cette limite dans la spécification ; elle ne se contente pas d’appeler le résultat « conseil ».

La fiche de profilage effectivement renseignée

Le seuil de sept réponses et les trois mois sont des choix fictifs de ce service, pas des repères fixés par le RGPD. La durée correspond ici à la session pédagogique proposée. Elle doit être réexaminée si les exercices sont utilisés autrement ou si les informations cessent d’être pertinentes.

L’équipe avait également envisagé une catégorie « manque de motivation » lorsque la personne se connecte peu. Elle l’écarte : une faible fréquence peut correspondre à de multiples situations, et cette appréciation n’est pas nécessaire pour recommander un exercice de conjugaison. Ajouter une mention dans la notice n’aurait pas corrigé ce défaut de pertinence.

Expliquer le résultat avant son activation

La plateforme présente l’option en expliquant que les réponses serviront à repérer les thèmes à réviser et à proposer des exercices. L’élève peut refuser sans perdre le catalogue, les fonctions promises ni subir un parcours artificiellement dégradé. Son choix est enregistré avec l’information présentée ; il peut désactiver l’option aussi simplement qu’il l’a activée. Ce sont les conditions retenues pour appliquer les Art. 6(1)(a) et 7.

Pour Claire, l’explication utile peut être : « Votre exercice de conjugaison comporte dix réponses validées. Le résultat conservé indique deux réponses correctes ; nous proposons donc une révision de ce thème. Cette suggestion ne limite pas vos autres exercices. Vous pouvez consulter les réponses prises en compte et signaler une erreur. » Il s’agit d’une explication du cas fictif, à intégrer à une information complète, pas d’une notice universelle.

La responsable vérifie que l’écran affiche bien ce que le système utilise. Une explication fondée sur les bonnes données serait trompeuse si le calcul reçoit en réalité une ancienne version du questionnaire. Le fournisseur doit permettre de rapprocher le résultat, la version de l’exercice et les données sources.

Corriger le profil et ses conséquences

Claire signale ensuite que huit de ses dix réponses étaient justes. L’examen révèle une synchronisation incomplète : huit réponses n’ont pas été enregistrées, puis leur absence a été interprétée comme une erreur. Le problème concerne donc la fiabilité des données alimentant le profil, avant même la pertinence du seuil pédagogique.

L’équipe suspend les recommandations issues de cette synchronisation. Le catalogue reste accessible normalement. Elle distingue une réponse fausse d’une réponse manquante, corrige les données de Claire à partir des éléments vérifiés et recherche les autres profils affectés. Lorsqu’une réponse ne peut pas être reconstruite avec fiabilité, elle ne l’invente pas : elle retire l’évaluation concernée et permet de reprendre l’exercice.

Dans notre cas, les huit réponses correctes sont retrouvées. Le profil est recalculé et la suggestion erronée disparaît de l’écran de Claire. La responsable vérifie également la file des recommandations déjà préparées : un ancien message proposant le niveau de révision ne doit pas partir après la correction. Le compte rendu précise l’anomalie, les données corrigées et les effets supprimés.

L’Art. 5(1)(d) impose l’exactitude des données au regard des finalités ; l’Art. 16 organise la rectification. Pendant la vérification d’une exactitude contestée, l’Art. 18(1)(a) prévoit la limitation. Source : RGPD, Art. 16 et 18. Une catégorie issue d’un calcul reste une donnée à examiner, même si l’entreprise n’a pas saisi manuellement son libellé.

Enfin, si Claire retire son consentement, la plateforme arrête cette personnalisation et efface les données devenues sans fondement pour cet usage, sous réserve des exceptions applicables. Elle ne supprime pas automatiquement les pièces nécessaires à la gestion du contrat, qui suivent leur propre régime. La désactivation doit atteindre le calcul et les recommandations en attente, pas seulement masquer le profil à l’écran.

Ce qu’il faut retenir

• Le profilage suppose une évaluation automatisée d’une personne.
• L’article 22 dépend du mode de décision et de ses effets.
• Une intervention humaine doit être réelle pour modifier l’analyse.
• Bases légales, transparence, droits et AIPD se vérifient séparément.

FAQ

Tout classement de clients est-il du profilage ?

Non. Il faut examiner si le traitement évalue des aspects personnels. Une simple statistique descriptive sans appréciation individuelle peut relever d’une autre qualification.

Un clic de validation humaine écarte-t-il l’article 22 ?

Pas si la validation est seulement formelle. Il faut examiner la capacité réelle de la personne à apprécier le dossier et à modifier le résultat.

Un profilage sans décision significative échappe-t-il au RGPD ?

Non. Les principes, bases légales, information et droits restent applicables. Le risque du traitement peut également imposer une AIPD.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.