{"id":23287,"date":"2026-08-12T10:00:00","date_gmt":"2026-08-12T10:00:00","guid":{"rendered":"https:\/\/atiasavocats.com\/?p=23287"},"modified":"2026-07-28T12:27:57","modified_gmt":"2026-07-28T12:27:57","slug":"article-22-rgpd-decisions-automatisees","status":"publish","type":"post","link":"https:\/\/atiasavocats.com\/en\/article-22-rgpd-decisions-automatisees\/","title":{"rendered":"Article 22 RGPD : les d\u00e9cisions automatis\u00e9es en pratique"},"content":{"rendered":"


Par\u00a0<\/em>David Joseph Atias<\/em><\/a>, avocat au Barreau de Paris \u00b7\u00a0<\/em>LinkedIn<\/em><\/a>\u00a0\u00b7 Ao\u00fbt 2026<\/em><\/em><\/p>\n\n\n\n

\n

Un algorithme refuse un cr\u00e9dit, d\u00e9sactive un compte ou trie des candidatures. Dans bien des cas, l’article 22 RGPD s’applique. Or, ce texte est souvent ignor\u00e9, jusqu’au contr\u00f4le ou au contentieux. Ce guide d\u00e9crypte donc la d\u00e9cision enti\u00e8rement automatis\u00e9e, le profilage et les garanties, au croisement de l’AI Act et du droit des plateformes.<\/p>\n<\/blockquote>\n\n\n\n

SOMMAIRE<\/p>\n\n\n\n

    \n
  1. Pourquoi l’article 22 RGPD devient central en 2026<\/a><\/li>\n\n\n\n
  2. Le cadre juridique applicable<\/a><\/li>\n\n\n\n
  3. Les 6 notions cl\u00e9s \u00e0 ma\u00eetriser<\/a><\/li>\n\n\n\n
  4. Tableau de synth\u00e8se et criticit\u00e9<\/a><\/li>\n\n\n\n
  5. Se mettre en conformit\u00e9 en 5 \u00e9tapes<\/a><\/li>\n\n\n\n
  6. Pourquoi faire appel \u00e0 Atias Avocats<\/a><\/li>\n\n\n\n
  7. Conclusion<\/a><\/li>\n\n\n\n
  8. FAQ \u2014 Questions fr\u00e9quentes<\/a><\/li>\n<\/ol>\n\n\n\n

    1. Pourquoi l’article 22 RGPD devient central en 2026<\/h2>\n\n\n\n

    Les d\u00e9cisions automatis\u00e9es se sont g\u00e9n\u00e9ralis\u00e9es. Cr\u00e9dit, assurance, recrutement, mod\u00e9ration, gestion des livreurs : l’algorithme d\u00e9cide partout. Or, l’article 22 RGPD encadre pr\u00e9cis\u00e9ment ces situations. Il redevient donc, aujourd’hui, un texte de premi\u00e8re ligne. En effet, ce qui relevait hier de la th\u00e9orie se pose aujourd’hui dans chaque projet d’automatisation.<\/p>\n\n\n\n

    Deux dynamiques expliquent ce retour au premier plan. D’abord, l’intelligence artificielle industrialise la prise de d\u00e9cision. Ensuite, la jurisprudence europ\u00e9enne a clarifi\u00e9 la port\u00e9e du texte. Ainsi, des pratiques longtemps tol\u00e9r\u00e9es deviennent risqu\u00e9es.<\/p>\n\n\n\n

    Le sujet d\u00e9passe par ailleurs le seul RGPD. En effet, l’AI Act et le droit social des plateformes s’y ajoutent d\u00e9sormais. Ces r\u00e9gimes se recoupent et se renforcent. Par cons\u00e9quent, une m\u00eame d\u00e9cision peut relever de trois corps de r\u00e8gles.<\/p>\n\n\n\n

    L’enjeu financier est r\u00e9el. Les sanctions du RGPD atteignent 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Notre guide complet du RGPD en entreprise<\/strong><\/a> replace l’article 22 dans cet ensemble.<\/p>\n\n\n\n

    2. Le cadre juridique applicable<\/h2>\n\n\n\n

    L’article 22 RGPD ne se lit jamais seul. Trois blocs de r\u00e8gles doivent \u00eatre combin\u00e9s.<\/p>\n\n\n\n

    D’abord, le RGPD lui-m\u00eame. L’article 22 pose un principe d’interdiction des d\u00e9cisions enti\u00e8rement automatis\u00e9es \u00e0 effet significatif. Les articles 13 \u00e0 15 imposent d’informer sur la logique du traitement. De plus, l’article 35 impose souvent une analyse d’impact, ou AIPD (analyse d’impact relative \u00e0 la protection des donn\u00e9es).<\/p>\n\n\n\n

    Ensuite, la jurisprudence. Dans l’arr\u00eat SCHUFA du 7 d\u00e9cembre 2023 (CJUE, C-634\/21), la Cour a jug\u00e9 qu’un score peut \u00eatre une d\u00e9cision au sens de l’article 22. En effet, d\u00e8s que ce score d\u00e9termine l’octroi d’un service, la garantie s’applique. Cette lecture \u00e9largit fortement le champ du texte. Beaucoup d’acteurs se croyaient hors du dispositif \u00e0 tort. En pratique, le score conditionne souvent la d\u00e9cision finale.<\/p>\n\n\n\n

    Enfin, les r\u00e9gimes qui se superposent. L’AI Act (r\u00e8glement UE 2024\/1689) classe certains syst\u00e8mes de d\u00e9cision comme \u00e0 haut risque. Par ailleurs, la directive (UE) 2024\/2831 encadre la gestion algorithmique du travail de plateforme. Elle doit \u00eatre transpos\u00e9e d’ici le 2 d\u00e9cembre 2026. Nos analyses des obligations AI Act des entreprises<\/strong><\/a> et de l’IA \u00e0 haut risque<\/strong><\/a> le d\u00e9taillent.<\/p>\n\n\n\n

    3. Les 6 notions cl\u00e9s \u00e0 ma\u00eetriser<\/h2>\n\n\n\n

    Six notions conditionnent l’application de ce texte. Les ma\u00eetriser \u00e9vite les erreurs de qualification.<\/p>\n\n\n\n

    3.1 La d\u00e9cision \u00ab enti\u00e8rement \u00bb automatis\u00e9e<\/h3>\n\n\n\n

    Le texte vise les d\u00e9cisions sans intervention humaine r\u00e9elle. L’automatisation doit \u00eatre totale, jusqu’au r\u00e9sultat. Toutefois, une validation humaine de fa\u00e7ade ne suffit pas \u00e0 \u00e9chapper au texte. La qualification d\u00e9pend donc de la r\u00e9alit\u00e9, non de l’apparence.<\/p>\n\n\n\n

    3.2 L’effet juridique ou significatif<\/h3>\n\n\n\n

    La d\u00e9cision doit produire un effet juridique ou significatif. Un refus de cr\u00e9dit ou un licenciement en sont des exemples clairs. De m\u00eame, une exclusion d’une plateforme affecte significativement la personne. En revanche, une simple publicit\u00e9 cibl\u00e9e reste g\u00e9n\u00e9ralement en dehors. La fronti\u00e8re d\u00e9pend toutefois de l’intensit\u00e9 de l’effet sur la personne.<\/p>\n\n\n\n

    3.3 Le profilage<\/h3>\n\n\n\n

    Le profilage \u00e9value des aspects personnels de fa\u00e7on automatis\u00e9e. Il analyse le comportement, la situation \u00e9conomique ou la sant\u00e9. Surtout, il d\u00e9clenche souvent l’application de l’article 22. Sa pr\u00e9sence appelle donc une vigilance particuli\u00e8re. Le profilage combine souvent plusieurs sources de donn\u00e9es. Il produit alors des conclusions difficiles \u00e0 contester sans transparence.<\/p>\n\n\n\n

    3.4 Les trois exceptions<\/h3>\n\n\n\n

    Trois fondements autorisent la d\u00e9cision automatis\u00e9e. Il s’agit de la n\u00e9cessit\u00e9 contractuelle, du consentement explicite et d’une autorisation l\u00e9gale. Cependant, ces exceptions n’effacent jamais les garanties. Elles en changent seulement le fondement. Une base l\u00e9gale claire reste, par ailleurs, la premi\u00e8re ligne de d\u00e9fense en cas de contr\u00f4le.<\/p>\n\n\n\n

    3.5 L’intervention humaine effective<\/h3>\n\n\n\n

    C’est la garantie centrale du dispositif. La personne qui r\u00e9examine doit \u00eatre comp\u00e9tente et l\u00e9gitime. Surtout, elle doit disposer du pouvoir r\u00e9el de modifier la d\u00e9cision. Un simple clic de validation ne constitue pas une intervention effective. La personne doit examiner les \u00e9l\u00e9ments et pouvoir renverser le r\u00e9sultat. Sans ce pouvoir, la garantie devient purement d\u00e9corative.<\/p>\n\n\n\n

    3.6 L’information et la contestation<\/h3>\n\n\n\n

    La personne doit comprendre la logique du traitement. Elle doit aussi pouvoir exprimer son point de vue et contester. Ainsi, la transparence conditionne l’exercice r\u00e9el des droits. Notre analyse des clauses IA dans les contrats fournisseurs<\/strong><\/a> aide \u00e0 r\u00e9partir ces obligations.<\/p>\n\n\n\n

    4. Tableau de synth\u00e8se et criticit\u00e9<\/h2>\n\n\n\n

    Le tableau ci-dessous relie chaque notion au risque associ\u00e9. Il sert de grille d’analyse au regard du texte.<\/p>\n\n\n\n

    Notion<\/th>Risque si n\u00e9glig\u00e9e<\/th>Criticit\u00e9<\/th><\/tr><\/thead>
    D\u00e9cision enti\u00e8rement automatis\u00e9e<\/td>Traitement illicite non identifi\u00e9<\/td>\ud83d\udd34 Critique<\/td><\/tr>
    Effet juridique ou significatif<\/td>Champ d’application mal \u00e9valu\u00e9<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr>
    Profilage<\/td>Base l\u00e9gale absente<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr>
    Exceptions et base l\u00e9gale<\/td>Automatisation sans fondement<\/td>\ud83d\udd34 Critique<\/td><\/tr>
    Intervention humaine effective<\/td>Garantie de pure forme<\/td>\ud83d\udd34 Critique<\/td><\/tr>
    Information & contestation<\/td>Droits ineffectifs, sanction<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

    5. Se mettre en conformit\u00e9 en 5 \u00e9tapes<\/h2>\n\n\n\n

    La conformit\u00e9 \u00e0 l’article 22 RGPD suit une m\u00e9thode claire. Cinq \u00e9tapes structurent la d\u00e9marche.<\/p>\n\n\n\n

    5.1 Cartographier les traitements d\u00e9cisionnels<\/h3>\n\n\n\n

    Recensez d’abord toutes les d\u00e9cisions appuy\u00e9es sur un algorithme. Cr\u00e9dit, recrutement, fraude, mod\u00e9ration, gestion des prestataires. En effet, beaucoup de traitements d\u00e9cisionnels restent invisibles au premier regard.<\/p>\n\n\n\n

    5.2 Qualifier chaque d\u00e9cision<\/h3>\n\n\n\n

    D\u00e9terminez ensuite si la d\u00e9cision est enti\u00e8rement automatis\u00e9e. V\u00e9rifiez l’effet significatif et la pr\u00e9sence d’un profilage. Ainsi, vous isolez les traitements r\u00e9ellement soumis au texte. Cette qualification conditionne toute la suite de la d\u00e9marche.<\/p>\n\n\n\n

    5.3 S\u00e9curiser la base l\u00e9gale<\/h3>\n\n\n\n

    Identifiez le fondement de chaque d\u00e9cision automatis\u00e9e. Contrat, consentement explicite ou autorisation l\u00e9gale. De plus, documentez ce choix, car la charge de la preuve p\u00e8se sur le responsable.<\/p>\n\n\n\n

    5.4 Rendre l’intervention humaine r\u00e9elle<\/h3>\n\n\n\n

    Organisez un r\u00e9examen humain dot\u00e9 d’un vrai pouvoir. Formez les personnes charg\u00e9es de ce contr\u00f4le, car l’article 22 RGPD exige une comp\u00e9tence r\u00e9elle. Un agent non form\u00e9 ne peut pas exercer un r\u00e9examen s\u00e9rieux. Par ailleurs, tracez chaque r\u00e9examen pour en prouver l’effectivit\u00e9. Cette tra\u00e7abilit\u00e9 constitue une preuve pr\u00e9cieuse en cas de litige. Elle d\u00e9montre que le contr\u00f4le humain n’est pas rest\u00e9 th\u00e9orique. La CNIL y attache une importance croissante lors de ses contr\u00f4les.<\/p>\n\n\n\n

    5.5 Informer, documenter et auditer<\/h3>\n\n\n\n

    Informez clairement les personnes sur la logique du traitement. R\u00e9alisez une analyse d’impact quand elle s’impose, \u00e0 l’image de notre d\u00e9cryptage de l’article 28 et du DPA<\/strong><\/a>. Enfin, auditez r\u00e9guli\u00e8rement l’algorithme ; nos services en protection des donn\u00e9es<\/strong><\/a> accompagnent cette d\u00e9marche.<\/p>\n\n\n\n

    6. Pourquoi faire appel \u00e0 Atias Avocats<\/h2>\n\n\n\n

    Ma\u00eetriser l’article 22 RGPD exige une triple comp\u00e9tence. Il faut lier le droit des donn\u00e9es, l’AI Act et le droit social des plateformes. Atias Avocats r\u00e9unit ces expertises. En effet, une d\u00e9cision automatis\u00e9e mal qualifi\u00e9e expose \u00e0 une sanction lourde. De m\u00eame, une garantie de pure forme ne r\u00e9siste pas \u00e0 un contr\u00f4le. Cette approche crois\u00e9e s\u00e9curise l’ensemble du dispositif d\u00e9cisionnel. Pour aller plus loin, consultez nos services en protection des donn\u00e9es<\/strong><\/a>.<\/p>\n\n\n\n

    Conclusion<\/h2>\n\n\n\n

    L’article 22 RGPD se juge sur trois lignes : la qualification, la base l\u00e9gale et l’intervention humaine. Ces trois points d\u00e9cident de la lic\u00e9it\u00e9 d’une d\u00e9cision automatis\u00e9e. Or, l’IA et les plateformes multiplient ces d\u00e9cisions chaque jour. C’est pourquoi la vigilance doit \u00eatre permanente. De plus, la convergence du RGPD, de l’AI Act et du droit social impose une lecture d’ensemble. Auditer ses algorithmes de d\u00e9cision reste, ainsi, le meilleur r\u00e9flexe. De plus, une documentation solide transforme un contr\u00f4le subi en position d\u00e9fendable. \u00c0 d\u00e9faut, la sanction viendra rappeler qu’une machine ne d\u00e9cide jamais seule sans garanties.<\/p>\n\n\n\n

    FAQ \u2014 Questions fr\u00e9quentes<\/h2>\n\n\n\n

    Que dit l’article 22 du RGPD ?<\/h3>\n\n\n\n

    L’article 22 du RGPD pose un principe d’interdiction. Une personne ne peut faire l’objet d’une d\u00e9cision fond\u00e9e exclusivement sur un traitement automatis\u00e9, produisant des effets juridiques ou l’affectant de mani\u00e8re significative. Le profilage entre dans ce champ. Trois exceptions existent : la n\u00e9cessit\u00e9 contractuelle, le consentement explicite et une autorisation l\u00e9gale. M\u00eame dans ces cas, des garanties minimales restent obligatoires.<\/p>\n\n\n\n

    Qu’est-ce qu’une d\u00e9cision enti\u00e8rement automatis\u00e9e ?<\/h3>\n\n\n\n

    C’est une d\u00e9cision prise sans intervention humaine r\u00e9elle. L’automatisation doit \u00eatre totale, du traitement des donn\u00e9es jusqu’au r\u00e9sultat. Une simple validation humaine de pure forme ne suffit pas \u00e0 sortir du champ de l’article 22. L’intervention humaine doit \u00eatre effective, exerc\u00e9e par une personne comp\u00e9tente et dot\u00e9e du pouvoir de modifier la d\u00e9cision. \u00c0 d\u00e9faut, la d\u00e9cision reste enti\u00e8rement automatis\u00e9e.<\/p>\n\n\n\n

    Le scoring ou l’algorithme de notation rel\u00e8ve-t-il de l’article 22 ?<\/h3>\n\n\n\n

    Oui, souvent. La Cour de justice de l’Union europ\u00e9enne, dans l’arr\u00eat SCHUFA du 7 d\u00e9cembre 2023 (C-634\/21), a jug\u00e9 que l’\u00e9tablissement d’un score peut constituer une d\u00e9cision au sens de l’article 22. Cela vaut lorsque ce score d\u00e9termine de fa\u00e7on d\u00e9terminante l’octroi d’un cr\u00e9dit ou d’un service. L’algorithme de notation doit donc \u00eatre encadr\u00e9 par les garanties du RGPD, m\u00eame si la d\u00e9cision finale est prise par un tiers.<\/p>\n\n\n\n

    Quelles garanties doit-on pr\u00e9voir ?<\/h3>\n\n\n\n

    Trois garanties minimales s’imposent. La personne doit pouvoir obtenir une intervention humaine effective, exprimer son point de vue et contester la d\u00e9cision. Elle doit aussi \u00eatre inform\u00e9e de la logique sous-jacente du traitement, en vertu des articles 13 \u00e0 15 du RGPD. Une analyse d’impact relative \u00e0 la protection des donn\u00e9es est souvent n\u00e9cessaire. Ces garanties doivent \u00eatre r\u00e9elles, document\u00e9es et accessibles.<\/p>\n\n\n\n

    L’article 22 concerne-t-il les travailleurs de plateforme ?<\/h3>\n\n\n\n

    Oui, et le cadre se renforce. La directive (UE) 2024\/2831 sur le travail de plateforme, \u00e0 transposer d’ici le 2 d\u00e9cembre 2026, encadre la gestion algorithmique. Elle impose transparence et contr\u00f4le humain sur les d\u00e9cisions automatis\u00e9es, comme la d\u00e9sactivation d’un compte. Ces droits s’ajoutent \u00e0 l’article 22 du RGPD. Les plateformes doivent donc articuler les deux r\u00e9gimes, sous peine de sanctions cumul\u00e9es.<\/p>\n\n\n\n


    Contact :     david@atiasavocats.com<\/a> | LinkedIn: David Joseph Atias<\/em><\/a> | https:\/\/www.atiasavocats.com<\/a> | 42 rue de la Clef, 75005 Paris<\/p>\n\n\n\n

    Atias Avocats \u2014 RGPD, d\u00e9cisions automatis\u00e9es & profilage, AI Act, droit des plateformes<\/em><\/p>","protected":false},"excerpt":{"rendered":"

    Par\u00a0David Joseph Atias, avocat au Barreau de Paris \u00b7\u00a0LinkedIn\u00a0\u00b7 Ao\u00fbt 2026 Un algorithme refuse un cr\u00e9dit, d\u00e9sactive un compte ou trie des candidatures. Dans bien des cas, l’article 22 RGPD…<\/p>","protected":false},"author":1,"featured_media":23288,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[186],"tags":[],"class_list":["post-23287","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-legal-services"],"_links":{"self":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23287","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/comments?post=23287"}],"version-history":[{"count":1,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23287\/revisions"}],"predecessor-version":[{"id":23289,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23287\/revisions\/23289"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media\/23288"}],"wp:attachment":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media?parent=23287"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/categories?post=23287"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/tags?post=23287"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}