Dans un arrêt rendu le 27 février 2025, la Cour de justice de l'Union européenne (CJUE) a rendu une décision importante concernant le Droit d'accès selon l'art. 15, al. 1, let. h RGPD a été prise. L'arrêt (affaire C-203/22) clarifie les exigences en matière de Transparence de la prise de décision automatisée et fixe des normes pour la protection des données à caractère personnel face aux intérêts du secret commercial.
Litige concernant l'obligation d'information dans le cadre d'une évaluation automatisée de la solvabilité
La décision était basée sur un renvoi du tribunal administratif de Vienne. La requérante CK, une personne physique, a été refusée par un opérateur de téléphonie mobile sur la base d'une évaluation automatisée de la solvabilité. L'évaluation a été effectuée par Dun & Bradstreet Austria GmbH (D & B), une entreprise spécialisée dans les contrôles de solvabilité. CK a alors demandé à consulter les critères déterminants et les bases de calcul de cette évaluation afin de pouvoir comprendre la base de la décision et, le cas échéant, la corriger.
D & B a refusé de divulguer la logique sous-jacente, arguant qu'il s'agissait de secrets commerciaux protégés. CK s'est alors adressé à l'autorité autrichienne de protection des données, qui a demandé à D & B de fournir des informations pertinentes sur la prise de décision automatisée. D & B a fait appel de cette décision. Plainte devant le Tribunal administratif fédéral, qui a confirmé l'obligation de fournir des informations.
D & B étant restée inactive malgré la décision définitive, CK a demandé à la municipalité de Vienne d'exécuter le jugement. L'autorité d'exécution a rejeté la demande au motif que D & B avait déjà satisfait à son obligation d'information. CK s'est alors à nouveau adressé au tribunal administratif de Vienne, qui a soumis l'affaire à la CJCE pour décision préjudicielle.
La CJUE doit se prononcer sur les limites et la portée du droit d'accès
Le Verwaltungsgericht Wien (tribunal administratif de Vienne) a posé à la CJCE plusieurs questions fondamentales concernant l'interprétation de l'article 15, paragraphe 1, point h). RGPD a été présentée. La problématique centrale consistait à déterminer les limites et l'étendue du droit d'accès des personnes concernées en ce qui concerne les processus décisionnels automatisés. Les questions du tribunal administratif portaient notamment sur
- Portée de la Obligations d'information: Quelles informations concrètes faut-il Responsable afin de satisfaire aux exigences de l'article 15, paragraphe 1, point h), de la directive. RGPD de correspondre ?
- Mise en balance avec les secrets d'affaires : La divulgation est-elle également nécessaire lorsque cela implique la révélation de secrets d'affaires ou données à caractère personnel tiers sont concernés ?
- Transparence contre le secret : Comment concilier le droit à la protection des données de la personne concernée et la protection des intérêts économiques des entreprises ?
Conseil de lecture : Minimisation des données et principe de proportionnalité – La CJUE annule l'obligation d'indiquer son titre lors de l'achat de billets en ligne
CJUE : transparence et présentation claire requises
La CJCE a décidé que Responsable sont tenues de divulguer, de manière compréhensible pour la personne concernée, la “ logique sous-jacente ” des processus décisionnels automatisés. Cela nécessite une description claire des méthodes de calcul et des algorithmes utilisés. Les entreprises doivent notamment exposer :
- Quels procédés et modèles mathématiques ont été utilisés pour la prise de décision,
- quelles variables d'entrée spécifiques ont été prises en compte dans l'évaluation
- Comment l'ensemble de ces facteurs a conduit à ce résultat concret.
La simple communication d'une note de solvabilité ou d'une classification de risque, sans autre explication, ne suffit pas. Il est au contraire nécessaire de fournir une présentation transparente et compréhensible afin de permettre à la personne concernée d'évaluer de manière réaliste quels critères ont contribué à la prise de décision automatisée.
Un autre aspect central de l'arrêt concerne la protection des secrets d'affaires et des données à caractère personnel de tiers. La CJUE a précisé que les entreprises ne peuvent pas invoquer de manière générale le secret d'affaires pour refuser de communiquer des informations. Il convient au contraire de procéder à une mise en balance minutieuse entre les intérêts de la personne concernée et les intérêts économiques de l’entreprise. Ce n’est que dans des cas exceptionnels, lorsqu’il est démontré que des intérêts économiques subissent un préjudice grave, qu’une restriction de l’obligation d’information peut être justifiée.
Par ailleurs, la CJUE a précisé qu’il ne peut y avoir de refus absolu de communication d’informations. Si certaines informations ne peuvent être communiquées directement pour des raisons de confidentialité, il faut au moins prévoir une autre solution afin de garantir le droit de la personne concernée. Par exemple, une divulgation auprès d’un organisme indépendant autorité de contrôle ou par une juridiction, afin de permettre un examen objectif du processus de prise de décision automatisée.
Impact de l'arrêt de la CJCE sur la pratique
La décision de la CJUE a des conséquences importantes pour les entreprises, en particulier celles qui recourent à des processus décisionnels automatisés. Responsable Les organismes doivent maintenant s'assurer qu'ils répondent aux exigences accrues en matière de Transparence afin de garantir un traitement des données conforme à la législation.
- étendu Obligations d'information
Les entreprises sont tenues d'expliquer de manière détaillée et compréhensible les processus décisionnels automatisés. Cela signifie que Personnes concernées Il doit être possible de comprendre quelles données d'entrée ont été utilisées et comment elles ont conduit à une certaine décision. La simple mention d'une évaluation automatisée n'est pas suffisante ; il faut au contraire que le fonctionnement soit divulgué de manière compréhensible pour la personne concernée. - Restrictions au recours au secret d'affaires
La CJUE a précisé que les entreprises ne peuvent pas invoquer de manière générale la protection des secrets d'affaires pour refuser de communiquer des informations. Il convient au contraire d’examiner au cas par cas si des secrets d’affaires méritant effectivement d’être protégés sont concernés. Si tel est le cas, il y a lieu de procéder à une mise en balance avec les droits de la personne concernée. À cet égard, les tribunaux ou les autorités de contrôle peuvent être saisis afin de déterminer quelles informations doivent être divulguées. - Nécessité de nouveaux mécanismes de contrôle
Les autorités de protection des données et les tribunaux joueront à l'avenir un rôle plus important dans la mise en balance des obligations de transparence et de la protection des secrets d'affaires. Les entreprises devraient donc se préparer à justifier en détail leurs processus de mise en balance. Cela peut également conduire à une obligation accrue de documentation afin de pouvoir démontrer aux autorités de contrôle que les obligations de divulgation sont conformes à la RGPD ont été remplies. - Effets sur les relations contractuelles
Cette décision peut avoir des conséquences importantes pour les partenaires contractuels des entreprises. Les banques, les assurances et les opérateurs de téléphonie mobile, en particulier, qui ont recours à des contrôles de solvabilité automatisés, doivent s'assurer que leurs clients reçoivent des explications suffisamment compréhensibles sur les bases de la décision. Dans le cas contraire, des contrats pourraient être conclus ou renouvelés en raison d'un manque d'information. Transparence être contestée en justice. - Adaptation des processus internes et Conformité-Mesures
Les entreprises doivent adapter leurs processus internes afin de répondre aux nouvelles exigences. Cela implique la mise en œuvre de mesures techniques et organisationnelles visant à garantir la transparence Documentation et la communication des mécanismes d'évaluation.
Conclusion
L'arrêt de la CJCE a mis en évidence le droit de Transparence en cas de décisions automatisées. Personnes concernées obtiennent désormais un cadre clairement défini et exécutable Droit d'accèsqui leur permet d'utiliser les Traitement de leurs données personnelles et, le cas échéant, de prendre des mesures juridiques.
Pour les entreprises, cela signifie qu'elles doivent revoir leurs processus internes et leurs mécanismes de prise de décision automatisée. Elles doivent fournir des informations plus complètes et divulguer de manière transparente les algorithmes et les logiques décisionnelles sous-jacents. Cela nécessite non seulement des adaptations techniques, mais aussi une collaboration plus étroite avec les autorités chargées de la protection des données afin de garantir le respect des nouvelles exigences.
Cette décision montre en outre clairement que la protection des secrets d'affaires ne peut être invoquée de manière générale comme argument pour refuser de fournir des informations. Au contraire, les entreprises doivent procéder à une évaluation minutieuse au cas par cas et, le cas échéant, trouver d’autres moyens de fournir les informations pertinentes, par exemple en les communiquant aux autorités de contrôle ou aux tribunaux.
German 
English 
Italian 
French