Scoring algorithmique et crédit bancaire : la CJUE juge que l’établissement automatisé d’un score de solvabilité par une société d’évaluation constitue en soi une « décision individuelle automatisée » prohibée par principe par l’article 22 du RGPD lorsqu’une banque en fait dépendre l’octroi d’un prêt (arrêt SCHUFA, C-634/21).

SCHUFA Holding AG est une société privée de droit allemand qui fournit à ses partenaires contractuels (banques, sociétés de crédit, opérateurs de télécommunications, entreprises de commerce en ligne) des informations sur la solvabilité des consommateurs. À cette fin, elle établit par un procédé mathématique et statistique automatisé (dit scoring) un pronostic chiffré sur la probabilité d’un comportement futur de paiement à partir de certaines caractéristiques de la personne concernée.

Après s’être vu refuser l’octroi d’un prêt par un établissement bancaire à la suite d’informations négatives fournies par SCHUFA, la requérante OQ avait demandé à SCHUFA de lui communiquer des informations sur la logique précise du calcul et sur la pondération des critères retenus, ainsi que d’effacer des données erronées. SCHUFA s’était bornée à lui communiquer son taux global de score et les principes généraux de fonctionnement de ses méthodes, en refusant de divulguer le détail du calcul au nom du secret des affaires et en soutenant qu’elle ne prenait elle-même aucune « décision » au sens de l’article 22 du RGPD, la décision finale d’accorder ou de refuser le prêt appartenant à la seule banque. Saisi du recours, le tribunal administratif de Wiesbaden a interrogé la Cour de justice de l’Union européenne (CJUE) à titre préjudiciel.

L’arrêt SCHUFA emporte des conséquences majeures pour l’ensemble des acteurs économiques utilisant des outils d’aide à la décision algorithmique en France :

• Encadrement strict du scoring bancaire et assurantiel par l’article 22 du RGPD et l’article 47 de la loi Informatique et Libertés : même lorsqu’un conseiller bancaire ou un gestionnaire d’assurance intervient formellement en bout de chaîne pour signer le refus de prêt ou de contrat, le système tombe sous le coup de l’article 22 du RGPD dès lors qu’en pratique le score calculé en amont par un outil interne ou un prestataire externe joue un rôle déterminant dans le refus. Le responsable du traitement et le fournisseur du score doivent alors respecter les garanties de l’article 22, paragraphe 3, du RGPD et de l’article 47 de la loi n° 78-17 du 6 janvier 1978 (intervention humaine réelle dotée du pouvoir de réformer l’appréciation algorithmique, communication des critères déterminants sans que le secret des affaires puisse justifier un refus complet d’information), sous le contrôle de la CNIL.
• Articulation avec le Règlement européen sur l’intelligence artificielle (Règlement (UE) 2024/1689 — AI Act) : l’arrêt SCHUFA annonce et complète le Règlement (UE) 2024/1689 du 13 juin 2024 sur l’intelligence artificielle, dont l’annexe III (point 5, sous b)) classe expressément parmi les « systèmes d’IA à haut risque » les systèmes destinés à être utilisés pour évaluer la solvabilité des personnes physiques ou établir leur score de crédit, les soumettant à des obligations renforcées de transparence, de contrôle humain (article 14) et de droit à une explication du rôle joué par le système d’IA (article 86).

Une société qui calcule un score de solvabilité peut-elle échapper à l’article 22 du RGPD au motif que c’est la banque qui décide finalement de refuser le crédit ?

Non. Dans son arrêt SCHUFA du 7 décembre 2023 (C-634/21), la CJUE juge que lorsque la banque fait dépendre de manière déterminante de ce score la conclusion ou le refus du contrat de prêt, le calcul automatisé du score par la société d’évaluation constitue en lui-même une « décision individuelle automatisée » soumise à l’article 22 du RGPD.

Quels sont les droits d’un consommateur ou d’un emprunteur face à un score algorithmique défavorable ?

En application des articles 15, paragraphe 1, sous h), et 22, paragraphe 3, du RGPD, la personne concernée a le droit d’obtenir des informations utiles et compréhensibles sur la logique sous-jacente du calcul, d’exiger une intervention humaine réelle (dotée de la compétence et de l’autorité nécessaires pour modifier l’appréciation), d’exprimer son point de vue et de contester la décision.

Une entreprise peut-elle invoquer le secret des affaires pour refuser toute explication sur le fonctionnement de son algorithme de notation ?

Non. Si la protection du secret des affaires et de la propriété intellectuelle (considérant 63 du RGPD) peut être prise en compte, la CJUE rappelle qu’elle ne saurait jamais aboutir à un refus de communiquer toute information à la personne concernée ni la priver des éléments nécessaires pour vérifier l’exactitude des données et la cohérence des critères appliqués.