Votre organisation utilise peut-être déjà un dispositif de scoring sans le désigner ainsi : note de solvabilité, indice de risque, probabilité d’impayé, score de fraude ou plafond d’encours.
Le traitement paraît parfois maîtrisé parce qu’un collaborateur valide la décision finale. Pourtant, la seule présence d’un humain ne suffit pas nécessairement à écarter l’application de l’article 22 du RGPD.
Lorsque le score structure l’analyse du dossier, détermine les seuils applicables ou influence presque systématiquement la décision, une question devient centrale :
L’organisation peut-elle démontrer que l’humain a réellement compris, contrôlé et, lorsque cela était nécessaire, écarté la recommandation algorithmique ?
Qu’est-ce qu’un scoring client au sens du RGPD ?
Le scoring consiste à attribuer une note, une probabilité ou une catégorie à une personne afin d’anticiper un comportement ou d’évaluer une situation, par exemple :
- sa capacité à rembourser un prêt ;
- son risque d’impayé ;
- sa probabilité de fraude ;
- sa sinistralité ;
- son risque de résiliation ;
- le niveau de risque associé à une relation commerciale.
Lorsqu’il repose sur un traitement automatisé destiné à évaluer certains aspects personnels, notamment la situation économique, la fiabilité ou le comportement d’une personne, il constitue un profilage au sens du RGPD.
Un score n’est jamais neutre. Il résulte de choix portant sur les données utilisées, les variables retenues, leur pondération, les seuils de décision et les erreurs considérées comme acceptables.
La disponibilité technique d’une donnée ne suffit donc pas à justifier son utilisation. Celle-ci doit être licite, exacte, pertinente et nécessaire à la finalité poursuivie.
Dans sa recommandation relative à l’évaluation de la solvabilité dans le cadre de l’octroi de crédit, la CNIL renforce notamment les exigences relatives à la transparence, au contrôle des données et aux décisions automatisées.
Quand le score relève-t-il de l’article 22 du RGPD ?
L’article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, lorsqu’elles produisent un effet juridique à l’égard d’une personne ou l’affectent de manière significative.
Un refus de crédit relève clairement de cette analyse. Une tarification défavorable, une limitation contractuelle ou une restriction d’accès à un service peuvent également être concernées lorsqu’elles reposent exclusivement sur le traitement automatisé et produisent un effet significatif sur la personne.
Dans l’arrêt SCHUFA Holding – Scoring, C-634/21, du 7 décembre 2023, la Cour de justice de l’Union européenne a considéré que l’établissement automatisé d’un score pouvait lui-même relever de l’article 22 lorsque ce score jouait un rôle déterminant dans la décision prise par un tiers.
Il ne suffit donc pas d’insérer formellement un salarié dans le processus décisionnel.
Pour être réelle et significative, l’intervention humaine doit permettre au décideur :
- de comprendre les principaux facteurs ayant influencé le résultat ;
- de vérifier les éléments pertinents du dossier ;
- de tenir compte de la situation particulière du client ;
- de modifier ou d’écarter la recommandation ;
- de justifier son arbitrage lorsque cela est nécessaire.
Un simple clic de validation ne constitue pas, à lui seul, une supervision humaine effective.
Les lignes directrices européennes relatives aux décisions individuelles automatisées et au profilage exigent une intervention exercée par une personne disposant de l’autorité et des compétences nécessaires pour réexaminer le résultat.
Quelle base légale pour noter ses clients ?
Il n’existe pas de base légale unique applicable à tous les dispositifs de scoring.
Le fondement doit être déterminé pour chaque finalité :
- évaluation de la solvabilité ;
- prévention de la fraude ;
- gestion des impayés ;
- prospection commerciale ;
- amélioration d’un modèle ;
- gestion de la relation contractuelle ;
- conservation d’éléments probatoires.
Dans le cadre de l’octroi de crédit, la base juridique dépend notamment des obligations sectorielles applicables et de la nécessité du traitement.
L’intérêt légitime ne couvre pas automatiquement toutes les opérations de scoring. Son utilisation suppose de démontrer l’intérêt poursuivi, la nécessité du traitement et l’équilibre avec les droits et libertés des personnes.
Le consentement ne constitue pas une solution de repli lorsque les autres fondements ne conviennent pas. Il ne peut être retenu que lorsque ses conditions de validité sont effectivement réunies.
Trois angles morts fréquents
1. Une donnée disponible n’est pas nécessairement utilisable
Les outils de scoring peuvent agréger des données provenant du dossier client, de bases internes, de partenaires, de comptes bancaires, d’API ou de solutions SaaS.
Pour chaque source, l’organisation doit pouvoir justifier sa provenance, sa pertinence, son exactitude et son utilisation au regard de la finalité poursuivie.
Une variable apparemment neutre peut également agir comme une variable proxy. Elle peut révéler indirectement une caractéristique sensible ou produire des effets défavorables sur certaines catégories de personnes.
L’absence de données sensibles dans le modèle ne garantit donc pas, à elle seule, l’absence de discrimination.
2. L’humain est présent, mais son arbitrage n’est pas démontrable
Dans certains dispositifs, le collaborateur voit uniquement une note, une couleur ou une recommandation, puis valide le résultat sans connaître les principaux facteurs explicatifs ni disposer d’un pouvoir réel pour s’en écarter.
Dans cette configuration, l’intervention humaine peut rester purement formelle.
La question n’est donc pas seulement de savoir si un humain intervient, mais s’il dispose réellement :
- des informations nécessaires ;
- de la compétence requise ;
- d’une marge de décision ;
- d’un pouvoir de réexamen ;
- d’une capacité à justifier son choix.
3. La documentation ne reflète pas toujours le fonctionnement réel
Un registre des traitements, une AIPD ou une notice d’information ne suffisent pas lorsque les pratiques opérationnelles divergent de la documentation.
Les écarts apparaissent notamment lorsque :
- certaines sources de données ne sont pas cartographiées ;
- les flux vers les prestataires sont mal identifiés ;
- les versions successives du dispositif ne sont pas tracées ;
- les durées de conservation ne sont pas effectivement appliquées ;
- la procédure de contestation reste théorique ;
- aucune preuve ne permet de reconstituer une décision individuelle.
La conformité doit donc être examinée à partir du fonctionnement réel du système, et non uniquement à partir des documents qui le décrivent.
Le règlement sur l’intelligence artificielle s’applique-t-il ?
Lorsqu’un dispositif répond à la définition d’un système d’IA, son analyse ne peut pas se limiter au RGPD.
Le règlement européen sur l’intelligence artificielle classe notamment parmi les systèmes à haut risque ceux utilisés pour évaluer la solvabilité des personnes physiques ou établir leur score de crédit, à l’exception des systèmes destinés à détecter la fraude financière.
Il vise également certains systèmes utilisés pour l’évaluation des risques et la tarification en assurance-vie et en assurance santé.
Cette qualification entraîne des exigences portant notamment sur :
- la gestion des risques ;
- la gouvernance des données ;
- la documentation ;
- la journalisation ;
- la transparence ;
- la supervision humaine ;
- l’exactitude, la robustesse et la cybersécurité.
Tous les moteurs de règles ou outils de calcul ne relèvent toutefois pas automatiquement de cette qualification. L’analyse doit partir du fonctionnement concret du dispositif.
Quelles preuves conserver ?
L’organisation doit pouvoir reconstituer le rôle joué par le score dans la décision et démontrer la réalité du contrôle humain.
Cette exigence suppose notamment de documenter :
- les données mobilisées ;
- la version du dispositif utilisée ;
- les facteurs ayant influencé le résultat ;
- le rôle du décideur humain ;
- les suites données à une éventuelle contestation.
La nature exacte des preuves à conserver dépend toutefois de l’architecture du système, des effets de la décision, des obligations sectorielles et de la répartition des responsabilités entre l’organisme et ses prestataires.
Cette traçabilité doit rester proportionnée. Elle ne justifie ni la collecte de données excessives ni leur conservation indéfinie.
Comment sécuriser un dispositif de scoring ?
La mise en conformité suppose généralement de travailler sur cinq dimensions :
- la cartographie des traitements, des flux et des intervenants ;
- la qualification juridique du score et de son rôle dans la décision ;
- l’évaluation des risques pour les personnes ;
- l’organisation d’une supervision humaine réelle ;
- la documentation et le contrôle du dispositif dans la durée.
La méthode à retenir dépend cependant du secteur, des données utilisées, du degré d’automatisation, de l’architecture technique, des prestataires impliqués et des effets produits sur les personnes.
Deux dispositifs apparemment similaires peuvent donc appeler des analyses et des mesures de conformité très différentes.
FAQ
Un humain qui valide chaque dossier suffit-il à écarter l’article 22 ?
Non. Il faut vérifier si cette personne comprend les facteurs ayant influencé le score, dispose d’un pouvoir réel pour modifier la décision et exerce effectivement ce pouvoir.
Lorsque le score est suivi presque systématiquement et que la validation demeure formelle, la présence humaine ne suffit pas nécessairement à écarter l’article 22.
Une AIPD est-elle obligatoire ?
Une AIPD est obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.
Les dispositifs reposant sur une évaluation ou une notation et susceptibles de conduire à l’exclusion du bénéfice d’un contrat appellent une vigilance particulière.
La nécessité de réaliser une AIPD doit être appréciée et documentée avant la mise en œuvre du traitement. La recommandation de la CNIL sur l’octroi de crédit consacre d’ailleurs une partie spécifique à cette analyse.
Combien de temps conserver le score ?
Il n’existe pas de durée unique applicable à tous les dispositifs.
La durée dépend notamment :
- de la finalité poursuivie ;
- de l’issue de la demande ;
- du statut de la personne ;
- des besoins probatoires ;
- des obligations sectorielles ;
- du rôle joué par le score dans la décision.
La conservation du score, des données utilisées et des traces du réexamen humain ne doit donc pas être traitée comme une seule et même question.
Votre dispositif est-il réellement maîtrisé ?
Avant de considérer un scoring comme conforme, l’organisation devrait pouvoir répondre à cinq questions:
- Le rôle réel du score dans la décision est-il clairement établi ?
- Les données utilisées sont-elles justifiées et régulièrement réévaluées ?
- L’intervention humaine est-elle réelle, compétente et traçable ?
- Les personnes peuvent-elles comprendre et contester la décision ?
- L’organisation peut-elle démontrer la conformité du dispositif en cas de contrôle ou de litige ?
Lorsque plusieurs réponses restent incertaines, une analyse approfondie du dispositif devient nécessaire.
Conclusion
Un scoring conforme ne repose pas uniquement sur une base légale, une notice d’information et la présence théorique d’un humain dans le processus.
L’organisation doit pouvoir démontrer pourquoi les données sont utilisées, quel rôle le score joue dans la décision, comment l’intervention humaine est exercée et comment les risques sont suivis dans la durée.
Le scoring client constitue ainsi un sujet de gouvernance, de traçabilité et de conformité démontrable.
Votre dispositif de scoring est-il réellement maîtrisé ?
La qualification juridique, l’analyse de l’article 22, l’AIPD, la gouvernance des données et la supervision humaine ne peuvent pas être traitées isolément.
DPO FRANCE accompagne les organisations dans l’évaluation juridique et opérationnelle de leurs dispositifs de scoring, l’identification des écarts et la définition de mesures de mise en conformité adaptées à leur architecture, à leurs usages et à leur secteur d’activité.
