Décision individuelle automatisée (RGPD)

Définition

La décision individuelle automatisée, encadrée par l'article 22 du RGPD, désigne une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques concernant une personne physique ou l'affectant de manière significative de façon similaire, sans qu'aucune intervention humaine réelle n'intervienne dans le processus décisionnel. Le règlement pose un principe général selon lequel une personne a le droit de ne pas faire l'objet d'une telle décision, sauf dans trois cas dérogatoires : lorsque la décision est nécessaire à la conclusion ou à l'exécution d'un contrat entre la personne et le responsable de traitement, lorsqu'elle est autorisée par le droit de l'Union ou d'un État membre auquel le responsable de traitement est soumis, ou lorsqu'elle repose sur le consentement explicite de la personne. Dans ces cas dérogatoires, le responsable de traitement doit mettre en œuvre des mesures appropriées pour sauvegarder les droits et libertés de la personne, incluant a minima le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision. Ce mécanisme concerne des cas concrets fréquents comme le scoring de crédit automatisé, le recrutement algorithmique ou certains refus automatiques de contrat d'assurance, et s'articule étroitement avec les exigences de l'AI Act lorsque le système utilisé est qualifié à haut risque.