Article 22 RGPD : les décisions automatisées en pratique

Par David Joseph Atias, avocat au Barreau de Paris · LinkedIn · Août 2026

Un algorithme refuse un crédit, désactive un compte ou trie des candidatures. Dans bien des cas, l’article 22 RGPD s’applique. Or, ce texte est souvent ignoré, jusqu’au contrôle ou au contentieux. Ce guide décrypte donc la décision entièrement automatisée, le profilage et les garanties, au croisement de l’AI Act et du droit des plateformes.

SOMMAIRE

1. Pourquoi l’article 22 RGPD devient central en 2026
2. Le cadre juridique applicable
3. Les 6 notions clés à maîtriser
4. Tableau de synthèse et criticité
5. Se mettre en conformité en 5 étapes
6. Pourquoi faire appel à Atias Avocats
7. Conclusion
8. FAQ — Questions fréquentes

1. Pourquoi l’article 22 RGPD devient central en 2026

Les décisions automatisées se sont généralisées. Crédit, assurance, recrutement, modération, gestion des livreurs : l’algorithme décide partout. Or, l’article 22 RGPD encadre précisément ces situations. Il redevient donc, aujourd’hui, un texte de première ligne. En effet, ce qui relevait hier de la théorie se pose aujourd’hui dans chaque projet d’automatisation.

Deux dynamiques expliquent ce retour au premier plan. D’abord, l’intelligence artificielle industrialise la prise de décision. Ensuite, la jurisprudence européenne a clarifié la portée du texte. Ainsi, des pratiques longtemps tolérées deviennent risquées.

Le sujet dépasse par ailleurs le seul RGPD. En effet, l’AI Act et le droit social des plateformes s’y ajoutent désormais. Ces régimes se recoupent et se renforcent. Par conséquent, une même décision peut relever de trois corps de règles.

L’enjeu financier est réel. Les sanctions du RGPD atteignent 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Notre guide complet du RGPD en entreprise replace l’article 22 dans cet ensemble.

2. Le cadre juridique applicable

L’article 22 RGPD ne se lit jamais seul. Trois blocs de règles doivent être combinés.

D’abord, le RGPD lui-même. L’article 22 pose un principe d’interdiction des décisions entièrement automatisées à effet significatif. Les articles 13 à 15 imposent d’informer sur la logique du traitement. De plus, l’article 35 impose souvent une analyse d’impact, ou AIPD (analyse d’impact relative à la protection des données).

Ensuite, la jurisprudence. Dans l’arrêt SCHUFA du 7 décembre 2023 (CJUE, C-634/21), la Cour a jugé qu’un score peut être une décision au sens de l’article 22. En effet, dès que ce score détermine l’octroi d’un service, la garantie s’applique. Cette lecture élargit fortement le champ du texte. Beaucoup d’acteurs se croyaient hors du dispositif à tort. En pratique, le score conditionne souvent la décision finale.

Enfin, les régimes qui se superposent. L’AI Act (règlement UE 2024/1689) classe certains systèmes de décision comme à haut risque. Par ailleurs, la directive (UE) 2024/2831 encadre la gestion algorithmique du travail de plateforme. Elle doit être transposée d’ici le 2 décembre 2026. Nos analyses des obligations AI Act des entreprises et de l’IA à haut risque le détaillent.

3. Les 6 notions clés à maîtriser

Six notions conditionnent l’application de ce texte. Les maîtriser évite les erreurs de qualification.

3.1 La décision « entièrement » automatisée

Le texte vise les décisions sans intervention humaine réelle. L’automatisation doit être totale, jusqu’au résultat. Toutefois, une validation humaine de façade ne suffit pas à échapper au texte. La qualification dépend donc de la réalité, non de l’apparence.

3.2 L’effet juridique ou significatif

La décision doit produire un effet juridique ou significatif. Un refus de crédit ou un licenciement en sont des exemples clairs. De même, une exclusion d’une plateforme affecte significativement la personne. En revanche, une simple publicité ciblée reste généralement en dehors. La frontière dépend toutefois de l’intensité de l’effet sur la personne.

3.3 Le profilage

Le profilage évalue des aspects personnels de façon automatisée. Il analyse le comportement, la situation économique ou la santé. Surtout, il déclenche souvent l’application de l’article 22. Sa présence appelle donc une vigilance particulière. Le profilage combine souvent plusieurs sources de données. Il produit alors des conclusions difficiles à contester sans transparence.

3.4 Les trois exceptions

Trois fondements autorisent la décision automatisée. Il s’agit de la nécessité contractuelle, du consentement explicite et d’une autorisation légale. Cependant, ces exceptions n’effacent jamais les garanties. Elles en changent seulement le fondement. Une base légale claire reste, par ailleurs, la première ligne de défense en cas de contrôle.

3.5 L’intervention humaine effective

C’est la garantie centrale du dispositif. La personne qui réexamine doit être compétente et légitime. Surtout, elle doit disposer du pouvoir réel de modifier la décision. Un simple clic de validation ne constitue pas une intervention effective. La personne doit examiner les éléments et pouvoir renverser le résultat. Sans ce pouvoir, la garantie devient purement décorative.

3.6 L’information et la contestation

La personne doit comprendre la logique du traitement. Elle doit aussi pouvoir exprimer son point de vue et contester. Ainsi, la transparence conditionne l’exercice réel des droits. Notre analyse des clauses IA dans les contrats fournisseurs aide à répartir ces obligations.

4. Tableau de synthèse et criticité

Le tableau ci-dessous relie chaque notion au risque associé. Il sert de grille d’analyse au regard du texte.

5. Se mettre en conformité en 5 étapes

La conformité à l’article 22 RGPD suit une méthode claire. Cinq étapes structurent la démarche.

5.1 Cartographier les traitements décisionnels

Recensez d’abord toutes les décisions appuyées sur un algorithme. Crédit, recrutement, fraude, modération, gestion des prestataires. En effet, beaucoup de traitements décisionnels restent invisibles au premier regard.

5.2 Qualifier chaque décision

Déterminez ensuite si la décision est entièrement automatisée. Vérifiez l’effet significatif et la présence d’un profilage. Ainsi, vous isolez les traitements réellement soumis au texte. Cette qualification conditionne toute la suite de la démarche.

5.3 Sécuriser la base légale

Identifiez le fondement de chaque décision automatisée. Contrat, consentement explicite ou autorisation légale. De plus, documentez ce choix, car la charge de la preuve pèse sur le responsable.

5.4 Rendre l’intervention humaine réelle

Organisez un réexamen humain doté d’un vrai pouvoir. Formez les personnes chargées de ce contrôle, car l’article 22 RGPD exige une compétence réelle. Un agent non formé ne peut pas exercer un réexamen sérieux. Par ailleurs, tracez chaque réexamen pour en prouver l’effectivité. Cette traçabilité constitue une preuve précieuse en cas de litige. Elle démontre que le contrôle humain n’est pas resté théorique. La CNIL y attache une importance croissante lors de ses contrôles.

5.5 Informer, documenter et auditer

Informez clairement les personnes sur la logique du traitement. Réalisez une analyse d’impact quand elle s’impose, à l’image de notre décryptage de l’article 28 et du DPA. Enfin, auditez régulièrement l’algorithme ; nos services en protection des données accompagnent cette démarche.

6. Pourquoi faire appel à Atias Avocats

Maîtriser l’article 22 RGPD exige une triple compétence. Il faut lier le droit des données, l’AI Act et le droit social des plateformes. Atias Avocats réunit ces expertises. En effet, une décision automatisée mal qualifiée expose à une sanction lourde. De même, une garantie de pure forme ne résiste pas à un contrôle. Cette approche croisée sécurise l’ensemble du dispositif décisionnel. Pour aller plus loin, consultez nos services en protection des données.

Conclusion

L’article 22 RGPD se juge sur trois lignes : la qualification, la base légale et l’intervention humaine. Ces trois points décident de la licéité d’une décision automatisée. Or, l’IA et les plateformes multiplient ces décisions chaque jour. C’est pourquoi la vigilance doit être permanente. De plus, la convergence du RGPD, de l’AI Act et du droit social impose une lecture d’ensemble. Auditer ses algorithmes de décision reste, ainsi, le meilleur réflexe. De plus, une documentation solide transforme un contrôle subi en position défendable. À défaut, la sanction viendra rappeler qu’une machine ne décide jamais seule sans garanties.

FAQ — Questions fréquentes

Que dit l’article 22 du RGPD ?

L’article 22 du RGPD pose un principe d’interdiction. Une personne ne peut faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, produisant des effets juridiques ou l’affectant de manière significative. Le profilage entre dans ce champ. Trois exceptions existent : la nécessité contractuelle, le consentement explicite et une autorisation légale. Même dans ces cas, des garanties minimales restent obligatoires.

Qu’est-ce qu’une décision entièrement automatisée ?

C’est une décision prise sans intervention humaine réelle. L’automatisation doit être totale, du traitement des données jusqu’au résultat. Une simple validation humaine de pure forme ne suffit pas à sortir du champ de l’article 22. L’intervention humaine doit être effective, exercée par une personne compétente et dotée du pouvoir de modifier la décision. À défaut, la décision reste entièrement automatisée.

Le scoring ou l’algorithme de notation relève-t-il de l’article 22 ?

Oui, souvent. La Cour de justice de l’Union européenne, dans l’arrêt SCHUFA du 7 décembre 2023 (C-634/21), a jugé que l’établissement d’un score peut constituer une décision au sens de l’article 22. Cela vaut lorsque ce score détermine de façon déterminante l’octroi d’un crédit ou d’un service. L’algorithme de notation doit donc être encadré par les garanties du RGPD, même si la décision finale est prise par un tiers.

Quelles garanties doit-on prévoir ?

Trois garanties minimales s’imposent. La personne doit pouvoir obtenir une intervention humaine effective, exprimer son point de vue et contester la décision. Elle doit aussi être informée de la logique sous-jacente du traitement, en vertu des articles 13 à 15 du RGPD. Une analyse d’impact relative à la protection des données est souvent nécessaire. Ces garanties doivent être réelles, documentées et accessibles.

L’article 22 concerne-t-il les travailleurs de plateforme ?

Oui, et le cadre se renforce. La directive (UE) 2024/2831 sur le travail de plateforme, à transposer d’ici le 2 décembre 2026, encadre la gestion algorithmique. Elle impose transparence et contrôle humain sur les décisions automatisées, comme la désactivation d’un compte. Ces droits s’ajoutent à l’article 22 du RGPD. Les plateformes doivent donc articuler les deux régimes, sous peine de sanctions cumulées.

Contact : david@atiasavocats.com | LinkedIn: David Joseph Atias | https://www.atiasavocats.com | 42 rue de la Clef, 75005 Paris

Atias Avocats — RGPD, décisions automatisées & profilage, AI Act, droit des plateformes