Si vous êtes DPO interne, référent protection des données ou responsable conformité dans un organisme social, une caisse, une collectivité ou une entreprise qui a mis en place un dispositif de contrôle (contrôle de la recherche d’emploi, vérification de déclarations, lutte contre la fraude, contrôle de l’activité des salariés), la question qui arrive sur votre bureau n’est presque jamais « avons-nous le droit de contrôler ? ». Elle est « comment choisissons-nous qui sera contrôlé ? ». Cette seconde question est exactement la vôtre, et c’est celle qui manque le plus souvent au dossier.
La réponse tient en une ligne : le ciblage est un traitement de données personnelles à part entière, distinct de l’opération de contrôle elle-même. Il a sa propre finalité, sa propre base légale, ses propres données, sa propre durée de conservation et, dans la grande majorité des cas, il déclenche une analyse d’impact. Voici les six vérifications à mener, dans l’ordre, avec ce qu’elles changent concrètement pour votre organisation.
Pourquoi un dispositif de contrôle est-il d’abord un traitement de données ?
Prenons un cas documenté publiquement. Dans son analyse consacrée au contrôle de la recherche d’emploi, France Travail (alors Pôle emploi) décrit un dispositif reposant sur 215 conseillers dédiés réalisant environ 12 000 contrôles par mois, avec trois portes d’entrée : la sélection aléatoire, la sélection sur critères ciblés et le signalement. L’étude indique que 88 % des personnes contrôlées ont justifié de leur recherche ou ont été remobilisées, et que 12 % ont été considérées en insuffisance de recherche d’emploi. Les données et la méthodologie sont consultables sur le site statistiques et analyses de France Travail.
Retenez la structure, pas les chiffres. Trois modes de sélection, trois régimes de risque très différents en protection des données. La sélection aléatoire ne repose sur aucune caractéristique de la personne. La sélection sur critères ciblés repose, elle, sur une évaluation d’éléments personnels : ancienneté, secteur recherché, historique des échanges, indicateurs d’activité. Le signalement, enfin, repose sur une donnée transmise par un tiers, avec tout ce que cela suppose de fiabilité variable et d’absence de contradictoire.
Un dispositif de contrôle, quel que soit le secteur, se ramène presque toujours à ces trois briques. C’est votre première grille de lecture.
Le ciblage automatisé relève-t-il de l’article 22 du RGPD ?
C’est le point que les directions métier sous-estiment le plus. Elles répondent en général : « non, puisque c’est un agent humain qui décide de contrôler ». La Cour de justice de l’Union européenne a nettement resserré cette lecture dans son arrêt du 7 décembre 2023 (affaire C-634/21, SCHUFA). Elle a jugé que l’établissement automatisé d’une valeur de probabilité par un organisme tiers constitue une décision individuelle automatisée au sens de l’article 22 du RGPD dès lors que cette valeur joue un rôle déterminant dans la décision finale prise par un autre acteur.
Transposez à votre dispositif : si le score, la liste ou l’alerte produite par l’outil est suivie dans la quasi-totalité des cas, l’intervention humaine en bout de chaîne ne suffit pas à sortir du champ de l’article 22. Nous avons détaillé cette logique de qualification dans notre analyse de la position de la CJUE sur les algorithmes de notation.
La question à poser au métier n’est donc pas « y a-t-il un humain ? » mais « sur cent alertes remontées l’an dernier, combien ont été écartées par l’agent, et sur quels motifs écrits ? ». Si personne ne sait répondre, vous avez votre réponse.
Quelle base légale et quelle finalité pour la sélection ?
Le contrôle et le ciblage ne partagent pas forcément le même fondement. Un organisme public appuiera généralement le contrôle sur une obligation légale ou une mission d’intérêt public, mais l’algorithme de priorisation qu’il a développé en interne n’est pas nécessairement couvert par le même texte. Une entreprise privée qui contrôle l’activité de ses salariés invoquera son intérêt légitime, ce qui suppose une mise en balance écrite et une information préalable des représentants du personnel.
Trois erreurs reviennent systématiquement dans les dossiers que l’on relit.
- La finalité glissante. Des données collectées pour accompagner ou pour facturer sont réutilisées pour cibler. La compatibilité des finalités doit être analysée et tracée, pas supposée.
- Le fondement implicite. « C’est prévu par la loi » sans référence au texte précis, et sans vérifier que le texte couvre bien la modalité de sélection, pas seulement le pouvoir de contrôle.
- La confusion entre contrôle et sanction. Le régime des données change quand la sélection alimente directement une procédure pouvant priver la personne d’un droit ou d’une prestation.
Sur le volet employeur, les points de vigilance sont voisins de ceux que nous avons rassemblés au sujet des dispositifs de contrôle de l’activité et du RGPD.
Quelles données peut-on réellement croiser pour cibler ?
La minimisation est le principe qui coûte le plus cher à appliquer, parce qu’elle oblige à retirer des variables que les équipes trouvent « intéressantes ». Trois réflexes de praticien.
D’abord, traquer les variables indirectement discriminantes. Un critère apparemment neutre (quartier, langue de correspondance, ancienneté de l’inscription, type de contrat recherché) peut fonctionner comme un substitut d’origine, d’état de santé ou de situation familiale. Le RGPD n’interdit pas les corrélations, il interdit de traiter des données sensibles sans fondement de l’article 9. Un proxy qui reconstitue une donnée sensible pose exactement le même problème.
Ensuite, borner la profondeur d’historique. Un moteur de ciblage qui rejoue trois ans de données de contact pour prioriser un contrôle d’aujourd’hui prolonge de fait la durée de conservation utile de ces données. Cela doit apparaître dans votre politique de conservation, pas seulement dans la documentation technique.
Enfin, séparer les bases. Les données d’accompagnement, de contrôle et de recouvrement ne devraient pas être accessibles depuis un même profil applicatif. Cette séparation est aussi une mesure de sécurité : les incidents qui ont touché le secteur de l’emploi ont montré qu’une base unique très riche multiplie l’impact d’une compromission, comme l’illustre notre suivi de la fuite de données sur France Travail.
Comment comparer les trois modes de sélection ?
| Mode de sélection | Ce qui est traité | Risque principal | Garantie minimale à exiger |
|---|---|---|---|
| Tirage aléatoire | Identifiant, périmètre du tirage | Faible en protection des données, mais coût d’acceptabilité | Traçabilité de la graine de tirage et du périmètre |
| Critères ciblés ou score | Évaluation d’éléments personnels, historique, indicateurs d’activité | Article 22, discrimination indirecte, opacité | Liste des variables, taux de suivi des alertes, révision annuelle, AIPD |
| Signalement | Donnée transmise par un tiers, parfois nominative | Exactitude, absence de contradictoire, dénonciation abusive | Qualification de la source, droit d’être entendu, purge des signalements non confirmés |
Une analyse d’impact est-elle obligatoire pour ce type de dispositif ?
Dans la quasi-totalité des cas, oui. Les critères issus des lignes directrices européennes reprises par la CNIL se cumulent ici très vite : évaluation ou notation, décision automatisée avec effet significatif, traitement à grande échelle, croisement d’ensembles de données, personnes en situation de vulnérabilité, et surtout traitement susceptible d’empêcher une personne d’exercer un droit ou de bénéficier d’un service. Deux critères suffisent à rendre l’analyse nécessaire. Un dispositif de contrôle en réunit souvent quatre.
La méthode manuelle fonctionne parfaitement, et il faut la connaître avant d’outiller quoi que ce soit. Vous décrivez le flux de bout en bout (déclencheur, données mobilisées, sortie produite, action possible), vous listez les variables une par une avec leur justification, vous mesurez le taux de suivi des alertes, vous identifiez les risques pour les personnes (contrôle injustifié, effet stigmatisant, suspension de droits), puis vous inscrivez les mesures retenues et la date de la prochaine revue. Un tableur et deux entretiens avec le métier suffisent à produire un premier livrable défendable. Notre guide complet de l’analyse d’impact détaille la trame.
Ce suivi tient dans un tableur tant que le dispositif est unique et que personne ne change de poste. DPO SUITE rattache l’analyse d’impact, la liste des critères de sélection et les actions correctives à la même fiche de traitement, de sorte que la revue annuelle reparte d’un état daté plutôt que d’une reconstitution de mémoire. Les DPO qui outillent ce point le font surtout pour le jour où il faut produire la trace en quelques heures.
Comment informer les personnes sans neutraliser le contrôle ?
C’est l’objection que le métier posera immédiatement : « si on publie les critères, les gens s’adapteront ». L’objection est recevable sur le détail des seuils, elle ne l’est pas sur l’existence du dispositif.
Le RGPD impose d’informer sur la finalité, les catégories de données, les destinataires, la durée et les droits. Il n’impose pas de publier le paramétrage fin d’un moteur de détection. Le droit national peut par ailleurs restreindre certaines informations pour des objectifs de prévention et de détection, mais ces restrictions doivent reposer sur un texte, être proportionnées, et ne pas vider le droit d’accès de sa substance.
En pratique, une organisation solide publie une notice qui dit : nous contrôlons, voici les trois modes de sélection, voici les données mobilisées par catégorie, voici la durée de conservation, voici comment contester une décision et obtenir une intervention humaine. Cette transparence de principe est aussi ce qui protège le mieux le dispositif en cas de contentieux, et elle rejoint le débat plus large sur la place des algorithmes dans la décision publique.
Que faire lundi matin ?
- Ouvrir une fiche de traitement dédiée au ciblage, distincte de la fiche « contrôle ». Si elle n’existe pas, c’est votre premier livrable.
- Demander au métier la liste exhaustive des variables de sélection, avec pour chacune la raison de sa présence. Toute variable sans justification écrite sort.
- Mesurer le taux de suivi des alertes sur les douze derniers mois. C’est l’indicateur qui qualifie ou non l’article 22.
- Vérifier la durée de conservation réelle des données rejouées par le moteur, et la faire remonter dans la politique de conservation.
- Contrôler que les signalements non confirmés sont purgés, et sous quel délai.
- Fixer une date de revue annuelle du paramétrage, avec un compte rendu écrit, même court.
- Relire la notice d’information pour vérifier qu’elle mentionne le contrôle et la voie de contestation.
Ce que vous gagnez à faire ce travail n’est pas seulement une conformité présentable. Vous obtenez une description partagée du dispositif, opposable en interne, qui vous évite de redécouvrir en urgence, un mardi de contrôle, qu’une variable ajoutée par un prestataire il y a dix-huit mois n’a jamais été documentée. Si vous n’avez qu’une heure cette semaine, consacrez-la à écrire la fiche de traitement du ciblage : c’est la première pièce qu’on vous demandera, et la seule qui rende toutes les autres démontrables.
