Article 22 RGPD : Encadrement des Décisions Automatisées et du Profilage
L'Article 22(1) du RGPD interdit par principe les décisions exclusivement automatisées produisant des effets juridiques. L'Article 22(2) prévoit 3 exceptions exclusives (contrat, loi, consentement explicite), et l'Article 22(3) impose des garanties humaines obligatoires pour le contrat et le consentement.
Principe d'Interdiction des Décisions Exclusivement Automatisées (Art. 22.1)
L'Article 22(1) dispose que la personne concernée a le droit de « ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire ».
Cette interdiction protège les individus contre l'automatisation intégrale des choix à fort impact (ex: octroi de crédit, recrutement algorithmique, exclusion d'assurances, tarification dynamique individualisée).
Le profilage (Art. 4.4) est défini comme toute forme de traitement automatisé consistant à utiliser des données pour évaluer certains aspects personnels (performance au travail, situation financière, santé, préférences personnelles, fiabilité ou comportement).
Les 3 Exceptions de l'Art. 22(2) et Garanties Humaines Obligatoires de l'Art. 22(3)
L'Article 22(2) admet seulement trois dérogations strictes au principe d'interdiction :
- a) Nécessité contractuelle : La décision est nécessaire à la conclusion ou à l'exécution d'un contrat entre la personne concernée et le responsable du traitement ;
- b) Autorisation légale : La décision est autorisée par le droit de l'Union ou le droit de l'État membre qui prévoit également des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes ;
- c) Consentement explicite : La décision est fondée sur le consentement explicite de la personne concernée (au sens de l'Art. 9.2.a et 4.11).
Garanties minimales impératives (Art. 22.3) : Dans les cas visés aux points a) (contrat) et c) (consentement explicite), le responsable du traitement est légalement tenu de mettre en œuvre des mesures appropriées, comprenant au minimum :
1° Le droit d'obtenir une intervention humaine de la part du responsable du traitement ;
2° Le droit pour la personne d'exprimer son point de vue ;
3° Le droit de contester la décision prise.
Sources Officielles Vérifiées
Règlement général sur la protection des données — Texte de référence européen
Consulter la source officielle (Journal Officiel de l'UE (EUR-Lex)) →Traitement de données personnelles dans le cadre du développement de modèles d'IA, évaluation du risque de mémorisation/extraction, anonymisation des pondérations, intérêt légitime et mesures d'atténuation (Avis Art. 64 du CEPD)
Consulter la source officielle →Ciblage sur réseaux sociaux, profilage, audiences personnalisées
Consulter la source officielle →Micro-Outils Opérationnels Associés
Vérifiez si votre projet relève des cas obligatoires de plein droit ou de la grille des 9 critères de risque élevé du CEPD.
Voir aussi dans le Référentiel
Cadre juridique de l'AIPD (Art. 35 RGPD) : cas obligatoires, critères WP248 de risque élevé, méthode d'évaluation et con...
Analyse des Guidelines 03/2026 du CEPD (Projet Version 1.0 en consultation jusqu'au 30 oct. 2026) : licéité du scraping ...