{"id":23346,"date":"2026-09-14T10:00:00","date_gmt":"2026-09-14T10:00:00","guid":{"rendered":"https:\/\/atiasavocats.com\/?p=23346"},"modified":"2026-09-04T12:33:02","modified_gmt":"2026-09-04T12:33:02","slug":"article-22-rgpd-decisions-automatisees-maitriser","status":"publish","type":"post","link":"https:\/\/atiasavocats.com\/en\/article-22-rgpd-decisions-automatisees-maitriser\/","title":{"rendered":"D\u00e9cisions automatis\u00e9es : ma\u00eetriser l’article 22 du RGPD"},"content":{"rendered":"


Par\u00a0<\/em>David Joseph Atias<\/em><\/a>, avocat au Barreau de Paris \u00b7\u00a0<\/em>LinkedIn<\/em><\/a>\u00a0\u00b7 Septembre 2026<\/em><\/em><\/p>\n\n\n\n

\n

L’article 22 RGPD est souvent mal compris, et donc mal appliqu\u00e9. En effet, beaucoup croient qu’un humain \u00ab dans la boucle \u00bb suffit \u00e0 s’y soustraire. Or, une validation cosm\u00e9tique ne change rien. Ce guide clarifie donc quand une d\u00e9cision est enti\u00e8rement automatis\u00e9e. Ainsi, vous s\u00e9curisez vos syst\u00e8mes de scoring, de tri ou de tarification.<\/p>\n<\/blockquote>\n\n\n\n

SOMMAIRE<\/p>\n\n\n\n

    \n
  1. Pourquoi l’article 22 est devenu central<\/a><\/li>\n\n\n\n
  2. Le principe et la port\u00e9e apr\u00e8s SCHUFA<\/a><\/li>\n\n\n\n
  3. Exceptions, garanties et supervision humaine<\/a><\/li>\n\n\n\n
  4. Tableau : r\u00e9elle ou cosm\u00e9tique ?<\/a><\/li>\n\n\n\n
  5. Articulation avec l’AI Act : RH et plateformes<\/a><\/li>\n\n\n\n
  6. Pourquoi faire appel \u00e0 Atias Avocats<\/a><\/li>\n\n\n\n
  7. Conclusion<\/a><\/li>\n\n\n\n
  8. FAQ \u2014 Questions fr\u00e9quentes<\/a><\/li>\n<\/ol>\n\n\n\n

    1. Pourquoi l’article 22 est devenu central<\/h2>\n\n\n\n

    L’automatisation des d\u00e9cisions s’est g\u00e9n\u00e9ralis\u00e9e dans les entreprises. Scoring de cr\u00e9dit, tri de CV, tarification dynamique : les algorithmes d\u00e9cident partout, et vite. Or, ces usages touchent directement les droits fondamentaux des personnes concern\u00e9es. C’est pourquoi l’article 22 RGPD occupe d\u00e9sormais une place cl\u00e9.<\/p>\n\n\n\n

    Beaucoup d’organisations sous-estiment sa port\u00e9e r\u00e9elle. En effet, elles pensent qu’un humain \u00ab dans la boucle \u00bb les prot\u00e8ge. Pourtant, la r\u00e9alit\u00e9 juridique est bien plus exigeante. Ainsi, une supervision de fa\u00e7ade ne suffit jamais \u00e0 \u00e9carter le texte. Le r\u00e9gulateur regarde la r\u00e9alit\u00e9 des pratiques, pas les intentions affich\u00e9es.<\/p>\n\n\n\n

    Les enjeux financiers sont consid\u00e9rables. Un manquement \u00e0 l’article 22 RGPD rel\u00e8ve du plafond haut des sanctions. Il peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial, au titre de l’article 83 du RGPD. De ce fait, la ma\u00eetrise de ce texte devient strat\u00e9gique. En effet, une erreur de conception se corrige difficilement apr\u00e8s coup.<\/p>\n\n\n\n

    Ce sujet s’inscrit dans un cadre RGPD plus large. Il compl\u00e8te naturellement notre guide du RGPD en entreprise<\/strong><\/a>, socle de toute la conformit\u00e9. De plus, il croise d\u00e9sormais fortement le droit de l’IA. Les deux r\u00e9gimes doivent donc \u00eatre lus ensemble en 2026.<\/p>\n\n\n\n

    2. Le principe et la port\u00e9e apr\u00e8s SCHUFA<\/h2>\n\n\n\n

    L’article 22 RGPD pose une r\u00e8gle de principe forte. Il faut d’abord bien comprendre sa nature juridique exacte, souvent mal cern\u00e9e.<\/p>\n\n\n\n

    2.1 Une interdiction, pas un simple droit<\/h3>\n\n\n\n

    Le texte \u00e9voque un \u00ab droit de ne pas faire l’objet \u00bb d’une telle d\u00e9cision. On pourrait y voir, \u00e0 tort, une simple facult\u00e9 \u00e0 activer soi-m\u00eame. Or, la CJUE a tranch\u00e9 dans l’arr\u00eat SCHUFA (C-634\/21, 7 d\u00e9cembre 2023). Il s’agit d’une interdiction de principe, que le responsable respecte d’office. La personne n’a donc pas \u00e0 r\u00e9clamer pour \u00eatre prot\u00e9g\u00e9e.<\/p>\n\n\n\n

    2.2 Une notion de d\u00e9cision \u00e9largie<\/h3>\n\n\n\n

    L’arr\u00eat SCHUFA a aussi \u00e9largi la notion de d\u00e9cision. L’\u00e9tablissement d’un score de probabilit\u00e9 en constitue une. Cela vaut d\u00e8s que ce score d\u00e9termine la d\u00e9cision d’un tiers. Peu importe que ce tiers signe formellement la d\u00e9cision finale. Ainsi, une banque qui suit un score externe entre dans le champ. De plus, le fournisseur du score en devient co-responsable.<\/p>\n\n\n\n

    2.3 Les conditions d’application<\/h3>\n\n\n\n

    Trois conditions d\u00e9clenchent l’article 22 RGPD. La d\u00e9cision doit \u00eatre fond\u00e9e exclusivement sur l’automatisation. Elle doit inclure, le cas \u00e9ch\u00e9ant, une part de profilage de la personne. Enfin, elle doit produire un effet juridique ou significatif sur la personne. Ces trois conditions se v\u00e9rifient toujours au cas par cas.<\/p>\n\n\n\n

    2.4 Des exemples concrets<\/h3>\n\n\n\n

    Les autorit\u00e9s de protection citent des cas tr\u00e8s parlants et fr\u00e9quents. Par exemple, le refus automatique d’un cr\u00e9dit en ligne. De m\u00eame, le rejet automatis\u00e9 et imm\u00e9diat d’une candidature \u00e0 l’emploi. La modulation des tarifs d’assurance par profilage est aussi vis\u00e9e. Par ailleurs, l’exclusion automatique d’un service peut l’\u00eatre \u00e9galement.<\/p>\n\n\n\n

    3. Exceptions, garanties et supervision humaine<\/h2>\n\n\n\n

    L’interdiction conna\u00eet des exceptions strictement encadr\u00e9es. Elles s’accompagnent toujours de garanties solides pour la personne concern\u00e9e.<\/p>\n\n\n\n

    3.1 Les trois exceptions<\/h3>\n\n\n\n

    Seules trois exceptions autorisent la d\u00e9cision automatis\u00e9e. La premi\u00e8re est la n\u00e9cessit\u00e9 contractuelle. La deuxi\u00e8me est l’autorisation par une loi. La troisi\u00e8me est le consentement explicite de la personne.<\/p>\n\n\n\n

    3.2 Les garanties obligatoires<\/h3>\n\n\n\n

    M\u00eame sous exception, des garanties restent dues. La personne peut obtenir une intervention humaine. De plus, elle peut exprimer son point de vue avant la d\u00e9cision. Ce droit doit \u00eatre effectif, non purement th\u00e9orique. Enfin, elle peut contester la d\u00e9cision prise \u00e0 son \u00e9gard.<\/p>\n\n\n\n

    3.3 L’intervention humaine significative<\/h3>\n\n\n\n

    C’est le point le plus souvent n\u00e9glig\u00e9. L’intervention humaine doit \u00eatre r\u00e9ellement significative. Autrement dit, un humain qui se contente de valider m\u00e9caniquement ne suffit pas. Les lignes directrices WP251 du Comit\u00e9 europ\u00e9en l’exigent clairement. D\u00e8s lors, l’humain doit disposer d’un vrai pouvoir de d\u00e9cision.<\/p>\n\n\n\n

    3.4 Le cas des donn\u00e9es sensibles<\/h3>\n\n\n\n

    Les donn\u00e9es sensibles imposent une vigilance renforc\u00e9e. Une d\u00e9cision automatis\u00e9e fond\u00e9e sur ces donn\u00e9es est tr\u00e8s encadr\u00e9e. Elle suppose un consentement explicite ou un int\u00e9r\u00eat public important. Les autres bases l\u00e9gales ne suffisent alors pas. En outre, une AIPD devient alors quasi syst\u00e9matique, au titre de l’article 35. Cette analyse d’impact documente les risques et les mesures prises.<\/p>\n\n\n\n

    4. Tableau : r\u00e9elle ou cosm\u00e9tique ?<\/h2>\n\n\n\n

    Le tableau ci-dessous distingue les deux situations. Il aide \u00e0 tester la solidit\u00e9 r\u00e9elle de votre supervision humaine. Chaque ligne oppose une pratique fragile \u00e0 une pratique robuste.<\/p>\n\n\n\n

    Crit\u00e8re<\/th>Supervision cosm\u00e9tique<\/th>Supervision r\u00e9elle<\/th><\/tr><\/thead>
    Pouvoir<\/td>Validation syst\u00e9matique<\/td>Pouvoir d’\u00e9carter la sortie<\/td><\/tr>
    Comp\u00e9tence<\/td>Agent non form\u00e9<\/td>Personne qualifi\u00e9e<\/td><\/tr>
    Temps<\/td>Quelques secondes<\/td>Analyse du contexte<\/td><\/tr>
    Tra\u00e7abilit\u00e9<\/td>Aucune trace<\/td>Journal des r\u00e9examens<\/td><\/tr>
    R\u00e9sultat<\/td>Jamais de modification<\/td>D\u00e9cisions parfois modifi\u00e9es<\/td><\/tr>
    Qualification<\/td>\ud83d\udd34 Reste sous l’article 22<\/td>\ud83d\udfe2 Sort de l’article 22<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

    5. Articulation avec l’AI Act : RH et plateformes<\/h2>\n\n\n\n

    L’article 22 RGPD ne vit plus seul en 2026. Il se combine d\u00e9sormais avec le droit de l’IA.<\/p>\n\n\n\n

    5.1 Le cumul RGPD et AI Act<\/h3>\n\n\n\n

    L’AI Act ne remplace jamais le RGPD. Au contraire, il s’y ajoute pour tous les syst\u00e8mes d’IA concern\u00e9s. Chaque texte garde son champ propre et ses sanctions. Ainsi, une d\u00e9cision automatis\u00e9e peut relever des deux r\u00e9gimes. De ce fait, deux s\u00e9ries d’obligations se cumulent sur un m\u00eame syst\u00e8me. Il faut donc les traiter ensemble, jamais s\u00e9par\u00e9ment.<\/p>\n\n\n\n

    5.2 Le lien avec l’annexe III<\/h3>\n\n\n\n

    Un syst\u00e8me de d\u00e9cision peut \u00eatre class\u00e9 \u00e0 haut risque. C’est le cas de nombreux usages list\u00e9s \u00e0 l’annexe III du r\u00e8glement, comme le recrutement ou le cr\u00e9dit. Notre analyse de la qualification d’une IA \u00e0 haut risque<\/strong><\/a> le d\u00e9taille. L’article 14 de l’AI Act impose alors une supervision humaine effective. Cette exigence rejoint directement celle de l’article 22 du RGPD.<\/p>\n\n\n\n

    5.3 Le cas des ressources humaines<\/h3>\n\n\n\n

    Les RH concentrent les risques li\u00e9s \u00e0 l’article 22 RGPD. Le tri de CV et le scoring de candidats sont sensibles. En effet, ils affectent significativement la vie professionnelle des candidats. Une d\u00e9cision biais\u00e9e peut aussi devenir discriminatoire. Une supervision humaine r\u00e9elle y devient donc indispensable. Le Code du travail y ajoute une consultation du comit\u00e9 social et \u00e9conomique.<\/p>\n\n\n\n

    5.4 Le cas des plateformes de travail<\/h3>\n\n\n\n

    Les plateformes de travail sont aussi en premi\u00e8re ligne. La gestion algorithmique y pilote les missions, les notes et les sanctions. Ces d\u00e9cisions p\u00e8sent lourdement sur les revenus des travailleurs. C’est pourquoi la directive (UE) 2024\/2831 impose un r\u00e9examen humain des d\u00e9cisions importantes. Une suspension de compte ne peut donc plus \u00eatre purement automatique. Ainsi, l’article 22 et cette directive se renforcent mutuellement. Le r\u00e9examen humain devient une exigence commune aux deux textes.<\/p>\n\n\n\n

    6. Pourquoi faire appel \u00e0 Atias Avocats<\/h2>\n\n\n\n

    Ma\u00eetriser l’article 22 exige une double comp\u00e9tence rare. Il faut conna\u00eetre le RGPD et le fonctionnement r\u00e9el des algorithmes. Il faut aussi articuler ce texte avec l’AI Act et le droit du travail. Atias Avocats r\u00e9unit pr\u00e9cis\u00e9ment ces expertises. En effet, une supervision mal con\u00e7ue expose \u00e0 de lourdes sanctions. De m\u00eame, une exception mal fond\u00e9e fragilise tout le dispositif. Cet accompagnement transforme une contrainte juridique en gouvernance ma\u00eetris\u00e9e. Pour aller plus loin, consultez nos services en protection des donn\u00e9es<\/strong><\/a>.<\/p>\n\n\n\n

    Conclusion<\/h2>\n\n\n\n

    L’article 22 RGPD n’est pas une formalit\u00e9 de conformit\u00e9. C’est une protection forte contre les d\u00e9cisions purement algorithmiques. Or, l’arr\u00eat SCHUFA en a confirm\u00e9 toute la port\u00e9e. C’est pourquoi la supervision humaine doit \u00eatre r\u00e9elle, jamais cosm\u00e9tique. De plus, l’articulation avec l’AI Act impose une vision d’ensemble. Concevoir des syst\u00e8mes conformes d\u00e8s l’origine reste, ainsi, la meilleure strat\u00e9gie. \u00c0 d\u00e9faut, un algorithme mal encadr\u00e9 expose \u00e0 un contentieux co\u00fbteux.<\/p>\n\n\n\n

    FAQ \u2014 Questions fr\u00e9quentes<\/h2>\n\n\n\n

    Que dit l’article 22 du RGPD ?<\/h3>\n\n\n\n

    L’article 22 du RGPD interdit en principe les d\u00e9cisions fond\u00e9es exclusivement sur un traitement automatis\u00e9. Cette interdiction vise les d\u00e9cisions produisant des effets juridiques ou affectant la personne de mani\u00e8re significative. Le profilage est express\u00e9ment inclus. La CJUE a confirm\u00e9 dans l’arr\u00eat SCHUFA qu’il s’agit d’une interdiction, pas d’un simple droit \u00e0 activer. Le responsable doit donc la respecter d’office.<\/p>\n\n\n\n

    Quand une d\u00e9cision est-elle enti\u00e8rement automatis\u00e9e ?<\/h3>\n\n\n\n

    Une d\u00e9cision est enti\u00e8rement automatis\u00e9e lorsqu’aucun humain n’intervient de fa\u00e7on significative. Une simple validation m\u00e9canique ne suffit pas \u00e0 l’exclure de l’article 22. L’intervention humaine doit \u00eatre r\u00e9elle, avec un pouvoir effectif de modifier la d\u00e9cision. \u00c0 d\u00e9faut, la supervision reste cosm\u00e9tique et le r\u00e9gime de l’article 22 s’applique. Les lignes directrices WP251 pr\u00e9cisent cette exigence.<\/p>\n\n\n\n

    Quelles sont les exceptions \u00e0 l’article 22 du RGPD ?<\/h3>\n\n\n\n

    Trois exceptions seulement permettent une d\u00e9cision enti\u00e8rement automatis\u00e9e. La premi\u00e8re est la n\u00e9cessit\u00e9 contractuelle. La deuxi\u00e8me est l’autorisation par une loi. La troisi\u00e8me est le consentement explicite de la personne. M\u00eame dans ces cas, des garanties restent obligatoires. La personne peut obtenir une intervention humaine, exprimer son point de vue et contester la d\u00e9cision.<\/p>\n\n\n\n

    Un score de cr\u00e9dit rel\u00e8ve-t-il de l’article 22 ?<\/h3>\n\n\n\n

    Oui, selon l’arr\u00eat SCHUFA de la CJUE du 7 d\u00e9cembre 2023. L’\u00e9tablissement d’un score de probabilit\u00e9 constitue une d\u00e9cision automatis\u00e9e. Cela vaut lorsque ce score joue un r\u00f4le d\u00e9terminant dans la d\u00e9cision d’un tiers, comme une banque. La notion de d\u00e9cision est donc entendue largement. Le scoring, le tri de CV ou la tarification automatique sont concern\u00e9s.<\/p>\n\n\n\n

    Comment l’article 22 s’articule-t-il avec l’AI Act ?<\/h3>\n\n\n\n

    Les deux textes se cumulent et se renforcent. L’article 22 du RGPD encadre la d\u00e9cision automatis\u00e9e sur des donn\u00e9es personnelles. L’AI Act, lui, peut classer le syst\u00e8me \u00e0 haut risque au titre de l’annexe III. Il impose alors une supervision humaine effective au titre de son article 14. Une entreprise doit donc g\u00e9rer les deux r\u00e9gimes ensemble, notamment en RH et sur les plateformes.<\/p>\n\n\n\n


    Contact :     david@atiasavocats.com<\/a> | LinkedIn: David Joseph Atias<\/em><\/a> | https:\/\/www.atiasavocats.com<\/a> | 42 rue de la Clef, 75005 Paris<\/p>\n\n\n\n

    Atias Avocats \u2014 RGPD, d\u00e9cisions automatis\u00e9es, profilage & AI Act<\/em><\/p>","protected":false},"excerpt":{"rendered":"

    Par\u00a0David Joseph Atias, avocat au Barreau de Paris \u00b7\u00a0LinkedIn\u00a0\u00b7 Septembre 2026 L’article 22 RGPD est souvent mal compris, et donc mal appliqu\u00e9. En effet, beaucoup croient qu’un humain \u00ab dans…<\/p>","protected":false},"author":1,"featured_media":23347,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[1],"tags":[],"class_list":["post-23346","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23346","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/comments?post=23346"}],"version-history":[{"count":1,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23346\/revisions"}],"predecessor-version":[{"id":23348,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23346\/revisions\/23348"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media\/23347"}],"wp:attachment":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media?parent=23346"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/categories?post=23346"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/tags?post=23346"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}