Hors collection - Droit des données à caractère personnel - 1re - 282

282

DROIT

DES DONNÉES À CARACTÈRE PERSONNEL

ainsi que les lignes directrices sur le profilage en donnent quelques exemples comme l'admissibilité
d'une personne à un crédit, l'accès à un service de santé, à une formation ou les pratiques de recrutement en ligne291. De plus, l'incidence de la décision sur la personne concernée doit être « significative ». Ce seuil est difficile à apprécier. Ils peuvent être significatifs en raison de leur durée292 (critère
temporel) ou de l'importance de la modification provoquée à la situation matérielle ou personnelle de
l'individu (critère quantitatif) comme l'exclusion d'un individu ou une discrimination293. Le G29
considère que la publicité ciblée basée sur le profilage n'affecte pas en principe la personne concernée
de manière significative de façon similaire à une décision produisant des effets juridiques, toutefois ce
peut être le cas en raison de la technique employée (prévision des souhaits des personnes concernées,
procédé particulièrement intrusif...) ou de la vulnérabilité de la personne (minorité, altération des
facultés personnelles)294. Dans ces dernières hypothèses, la publicité ciblée relève du droit de ne pas
subir de décision individuelle automatisée.
b) Les exceptions au droit d'opposition
583. Typologie. L'interdiction des décisions fondées exclusivement sur un traitement automatisé de
données est écartée dans trois cas295.
Le premier est la nécessité de la décision pour la conclusion ou l'exécution d'un contrat entre la
personne concernée et un responsable du traitement. C'est le cas par exemple pour la sélection de
candidats à un emploi. C'est aussi le cas s'agissant d'une demande de prêt à la consommation. Inversement, une prise de décision exclusivement automatisée ne peut pas intervenir si le contrat est conclu
entre la personne concernée et un tiers par exemple.
Le deuxième cas est l'autorisation donnée par le droit de l'Union ou le droit de l'État membre auquel
le responsable du traitement est soumis.
Le troisième cas est le consentement explicite de la personne concernée ce qui n'était pas prévu par la
directive 95/46/CE. Ce consentement explicite est distinct de l'éventuel consentement au traitement
de données à caractère personnel296, un consentement tacite est insuffisant. L'introduction du consentement fait craindre l'extension des hypothèses dans lesquelles des décisions individuelles sont prises
de manière exclusivement automatisées. La question se pose du recours à ce type de décision automatisée en présence de personnes vulnérables, le RGPD précisant que « cette mesure [le profilage] ne
devrait pas concerner un enfant »297.
584. Principes applicables au traitement de données. Les principes applicables à tous les traitements
de données trouvent évidemment application aux traitements de données à caractère personnel
permettant la prise de décision exclusivement automatisée298. C'est en particulier le cas de l'exigence
de limitation des finalités du traitement, notamment en cas de réutilisation des données. Si le responsable du traitement n'a pas collecté les données auprès des personnes concernées, celles-ci devront être
informées de la source des données299. C'est aussi le cas des exigences de loyauté du traitement, d'exactitude et de sécurité des données. Ainsi, les facteurs qui entraînent des erreurs dans les données à

291.
292.
293.
294.
295.
296.
297.
298.
299.

G29, lignes directrices relatives à la prise de décision individuelle automatisée, préc., p. 21 et 22.
Ibid., p. 21.
Ibid., p. 21.
Ibid., p. 22.
RGPD, art. 22, § 2.
RGPD, art. 6, § 1, a.
RGPD, cons. 71.
G29, lignes directrices relatives à la prise de décision individuelle automatisée, préc., p. 8 et s.
RGPD, art. 14, § 1, f.

Hors collection - Droit des données à caractère personnel - 1re

Table des matières de la publication Hors collection - Droit des données à caractère personnel - 1re