Décisions automatisées : maîtriser l’article 22 du RGPD

Par David Joseph Atias, avocat au Barreau de Paris · LinkedIn · Septembre 2026

L’article 22 RGPD est souvent mal compris, et donc mal appliqué. En effet, beaucoup croient qu’un humain « dans la boucle » suffit à s’y soustraire. Or, une validation cosmétique ne change rien. Ce guide clarifie donc quand une décision est entièrement automatisée. Ainsi, vous sécurisez vos systèmes de scoring, de tri ou de tarification.

SOMMAIRE

1. Pourquoi l’article 22 est devenu central
2. Le principe et la portée après SCHUFA
3. Exceptions, garanties et supervision humaine
4. Tableau : réelle ou cosmétique ?
5. Articulation avec l’AI Act : RH et plateformes
6. Pourquoi faire appel à Atias Avocats
7. Conclusion
8. FAQ — Questions fréquentes

1. Pourquoi l’article 22 est devenu central

L’automatisation des décisions s’est généralisée dans les entreprises. Scoring de crédit, tri de CV, tarification dynamique : les algorithmes décident partout, et vite. Or, ces usages touchent directement les droits fondamentaux des personnes concernées. C’est pourquoi l’article 22 RGPD occupe désormais une place clé.

Beaucoup d’organisations sous-estiment sa portée réelle. En effet, elles pensent qu’un humain « dans la boucle » les protège. Pourtant, la réalité juridique est bien plus exigeante. Ainsi, une supervision de façade ne suffit jamais à écarter le texte. Le régulateur regarde la réalité des pratiques, pas les intentions affichées.

Les enjeux financiers sont considérables. Un manquement à l’article 22 RGPD relève du plafond haut des sanctions. Il peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial, au titre de l’article 83 du RGPD. De ce fait, la maîtrise de ce texte devient stratégique. En effet, une erreur de conception se corrige difficilement après coup.

Ce sujet s’inscrit dans un cadre RGPD plus large. Il complète naturellement notre guide du RGPD en entreprise, socle de toute la conformité. De plus, il croise désormais fortement le droit de l’IA. Les deux régimes doivent donc être lus ensemble en 2026.

2. Le principe et la portée après SCHUFA

L’article 22 RGPD pose une règle de principe forte. Il faut d’abord bien comprendre sa nature juridique exacte, souvent mal cernée.

2.1 Une interdiction, pas un simple droit

Le texte évoque un « droit de ne pas faire l’objet » d’une telle décision. On pourrait y voir, à tort, une simple faculté à activer soi-même. Or, la CJUE a tranché dans l’arrêt SCHUFA (C-634/21, 7 décembre 2023). Il s’agit d’une interdiction de principe, que le responsable respecte d’office. La personne n’a donc pas à réclamer pour être protégée.

2.2 Une notion de décision élargie

L’arrêt SCHUFA a aussi élargi la notion de décision. L’établissement d’un score de probabilité en constitue une. Cela vaut dès que ce score détermine la décision d’un tiers. Peu importe que ce tiers signe formellement la décision finale. Ainsi, une banque qui suit un score externe entre dans le champ. De plus, le fournisseur du score en devient co-responsable.

2.3 Les conditions d’application

Trois conditions déclenchent l’article 22 RGPD. La décision doit être fondée exclusivement sur l’automatisation. Elle doit inclure, le cas échéant, une part de profilage de la personne. Enfin, elle doit produire un effet juridique ou significatif sur la personne. Ces trois conditions se vérifient toujours au cas par cas.

2.4 Des exemples concrets

Les autorités de protection citent des cas très parlants et fréquents. Par exemple, le refus automatique d’un crédit en ligne. De même, le rejet automatisé et immédiat d’une candidature à l’emploi. La modulation des tarifs d’assurance par profilage est aussi visée. Par ailleurs, l’exclusion automatique d’un service peut l’être également.

3. Exceptions, garanties et supervision humaine

L’interdiction connaît des exceptions strictement encadrées. Elles s’accompagnent toujours de garanties solides pour la personne concernée.

3.1 Les trois exceptions

Seules trois exceptions autorisent la décision automatisée. La première est la nécessité contractuelle. La deuxième est l’autorisation par une loi. La troisième est le consentement explicite de la personne.

3.2 Les garanties obligatoires

Même sous exception, des garanties restent dues. La personne peut obtenir une intervention humaine. De plus, elle peut exprimer son point de vue avant la décision. Ce droit doit être effectif, non purement théorique. Enfin, elle peut contester la décision prise à son égard.

3.3 L’intervention humaine significative

C’est le point le plus souvent négligé. L’intervention humaine doit être réellement significative. Autrement dit, un humain qui se contente de valider mécaniquement ne suffit pas. Les lignes directrices WP251 du Comité européen l’exigent clairement. Dès lors, l’humain doit disposer d’un vrai pouvoir de décision.

3.4 Le cas des données sensibles

Les données sensibles imposent une vigilance renforcée. Une décision automatisée fondée sur ces données est très encadrée. Elle suppose un consentement explicite ou un intérêt public important. Les autres bases légales ne suffisent alors pas. En outre, une AIPD devient alors quasi systématique, au titre de l’article 35. Cette analyse d’impact documente les risques et les mesures prises.

4. Tableau : réelle ou cosmétique ?

Le tableau ci-dessous distingue les deux situations. Il aide à tester la solidité réelle de votre supervision humaine. Chaque ligne oppose une pratique fragile à une pratique robuste.

5. Articulation avec l’AI Act : RH et plateformes

L’article 22 RGPD ne vit plus seul en 2026. Il se combine désormais avec le droit de l’IA.

5.1 Le cumul RGPD et AI Act

L’AI Act ne remplace jamais le RGPD. Au contraire, il s’y ajoute pour tous les systèmes d’IA concernés. Chaque texte garde son champ propre et ses sanctions. Ainsi, une décision automatisée peut relever des deux régimes. De ce fait, deux séries d’obligations se cumulent sur un même système. Il faut donc les traiter ensemble, jamais séparément.

5.2 Le lien avec l’annexe III

Un système de décision peut être classé à haut risque. C’est le cas de nombreux usages listés à l’annexe III du règlement, comme le recrutement ou le crédit. Notre analyse de la qualification d’une IA à haut risque le détaille. L’article 14 de l’AI Act impose alors une supervision humaine effective. Cette exigence rejoint directement celle de l’article 22 du RGPD.

5.3 Le cas des ressources humaines

Les RH concentrent les risques liés à l’article 22 RGPD. Le tri de CV et le scoring de candidats sont sensibles. En effet, ils affectent significativement la vie professionnelle des candidats. Une décision biaisée peut aussi devenir discriminatoire. Une supervision humaine réelle y devient donc indispensable. Le Code du travail y ajoute une consultation du comité social et économique.

5.4 Le cas des plateformes de travail

Les plateformes de travail sont aussi en première ligne. La gestion algorithmique y pilote les missions, les notes et les sanctions. Ces décisions pèsent lourdement sur les revenus des travailleurs. C’est pourquoi la directive (UE) 2024/2831 impose un réexamen humain des décisions importantes. Une suspension de compte ne peut donc plus être purement automatique. Ainsi, l’article 22 et cette directive se renforcent mutuellement. Le réexamen humain devient une exigence commune aux deux textes.

6. Pourquoi faire appel à Atias Avocats

Maîtriser l’article 22 exige une double compétence rare. Il faut connaître le RGPD et le fonctionnement réel des algorithmes. Il faut aussi articuler ce texte avec l’AI Act et le droit du travail. Atias Avocats réunit précisément ces expertises. En effet, une supervision mal conçue expose à de lourdes sanctions. De même, une exception mal fondée fragilise tout le dispositif. Cet accompagnement transforme une contrainte juridique en gouvernance maîtrisée. Pour aller plus loin, consultez nos services en protection des données.

Conclusion

L’article 22 RGPD n’est pas une formalité de conformité. C’est une protection forte contre les décisions purement algorithmiques. Or, l’arrêt SCHUFA en a confirmé toute la portée. C’est pourquoi la supervision humaine doit être réelle, jamais cosmétique. De plus, l’articulation avec l’AI Act impose une vision d’ensemble. Concevoir des systèmes conformes dès l’origine reste, ainsi, la meilleure stratégie. À défaut, un algorithme mal encadré expose à un contentieux coûteux.

FAQ — Questions fréquentes

Que dit l’article 22 du RGPD ?

L’article 22 du RGPD interdit en principe les décisions fondées exclusivement sur un traitement automatisé. Cette interdiction vise les décisions produisant des effets juridiques ou affectant la personne de manière significative. Le profilage est expressément inclus. La CJUE a confirmé dans l’arrêt SCHUFA qu’il s’agit d’une interdiction, pas d’un simple droit à activer. Le responsable doit donc la respecter d’office.

Quand une décision est-elle entièrement automatisée ?

Une décision est entièrement automatisée lorsqu’aucun humain n’intervient de façon significative. Une simple validation mécanique ne suffit pas à l’exclure de l’article 22. L’intervention humaine doit être réelle, avec un pouvoir effectif de modifier la décision. À défaut, la supervision reste cosmétique et le régime de l’article 22 s’applique. Les lignes directrices WP251 précisent cette exigence.

Quelles sont les exceptions à l’article 22 du RGPD ?

Trois exceptions seulement permettent une décision entièrement automatisée. La première est la nécessité contractuelle. La deuxième est l’autorisation par une loi. La troisième est le consentement explicite de la personne. Même dans ces cas, des garanties restent obligatoires. La personne peut obtenir une intervention humaine, exprimer son point de vue et contester la décision.

Un score de crédit relève-t-il de l’article 22 ?

Oui, selon l’arrêt SCHUFA de la CJUE du 7 décembre 2023. L’établissement d’un score de probabilité constitue une décision automatisée. Cela vaut lorsque ce score joue un rôle déterminant dans la décision d’un tiers, comme une banque. La notion de décision est donc entendue largement. Le scoring, le tri de CV ou la tarification automatique sont concernés.

Comment l’article 22 s’articule-t-il avec l’AI Act ?

Les deux textes se cumulent et se renforcent. L’article 22 du RGPD encadre la décision automatisée sur des données personnelles. L’AI Act, lui, peut classer le système à haut risque au titre de l’annexe III. Il impose alors une supervision humaine effective au titre de son article 14. Une entreprise doit donc gérer les deux régimes ensemble, notamment en RH et sur les plateformes.

Contact : david@atiasavocats.com | LinkedIn: David Joseph Atias | https://www.atiasavocats.com | 42 rue de la Clef, 75005 Paris

Atias Avocats — RGPD, décisions automatisées, profilage & AI Act