La CJCE renforce la transparence : les agences d'évaluation du crédit doivent publier leurs processus décisionnels

La CJUE renforce la transparence en matière de prise de décision automatisée.
Catégories :

Dans son arrêt du 27 février 2025, la Cour de justice de l'Union européenne (CJUE) a rendu une décision importante concernant le Droit d'accès selon l'art. 15, al. 1, let. h RGPD a été prise. L'arrêt (affaire C-203/22) clarifie les exigences en matière de Transparence de la prise de décision automatisée et fixe des normes pour la protection des données à caractère personnel face aux intérêts du secret commercial.

Litige sur l'obligation de fournir des informations lors d'un contrôle de solvabilité automatisé

La décision était basée sur un renvoi du tribunal administratif de Vienne. La requérante CK, une personne physique, a été refusée par un opérateur de téléphonie mobile sur la base d'une évaluation automatisée de la solvabilité. L'évaluation a été effectuée par Dun & Bradstreet Austria GmbH (D & B), une entreprise spécialisée dans les contrôles de solvabilité. CK a alors demandé à consulter les critères déterminants et les bases de calcul de cette évaluation afin de pouvoir comprendre la base de la décision et, le cas échéant, la corriger.

D & B a refusé de divulguer la logique sous-jacente, arguant qu'il s'agissait de secrets commerciaux protégés. CK s'est alors adressé à l'autorité autrichienne de protection des données, qui a demandé à D & B de fournir des informations pertinentes sur la prise de décision automatisée. D & B a fait appel de cette décision. Plainte devant le Tribunal administratif fédéral, qui a confirmé l'obligation de fournir des informations.

D & B étant restée inactive malgré la décision définitive, CK a demandé à la municipalité de Vienne d'exécuter le jugement. L'autorité d'exécution a rejeté la demande au motif que D & B avait déjà satisfait à son obligation d'information. CK s'est alors à nouveau adressé au tribunal administratif de Vienne, qui a soumis l'affaire à la CJCE pour décision préjudicielle.

La CJCE doit se prononcer sur les limites et l'étendue du droit à l'information

Le Verwaltungsgericht Wien (tribunal administratif de Vienne) a posé à la CJCE plusieurs questions fondamentales concernant l'interprétation de l'article 15, paragraphe 1, point h). RGPD a été présentée. La problématique centrale consistait à déterminer les limites et l'étendue du droit d'accès des personnes concernées en ce qui concerne les processus décisionnels automatisés. Les questions du tribunal administratif portaient notamment sur

  1. Portée de la Obligations d'information: Quelles informations concrètes doivent être Responsable afin de satisfaire aux exigences de l'article 15, paragraphe 1, point h), de la directive. RGPD de correspondre ?
  2. Mise en balance avec les secrets d'affaires : La divulgation est-elle également nécessaire lorsqu'elle implique des secrets d'affaires ou des informations confidentielles ? données à caractère personnel tiers sont concernés ?
  3. Transparence contre le secret : Comment résoudre la tension entre le droit à la protection des données de la personne concernée et la protection des intérêts économiques des entreprises ?


Conseil de lecture : Minimisation des données et la minimisation des données - la CJCE annule l'obligation de s'adresser à quelqu'un lors de l'achat d'un billet en ligne

CJCE : Transparence et une présentation compréhensible sont nécessaires

La CJCE a décidé que Responsable sont tenus de divulguer la "logique impliquée" des processus décisionnels automatisés de manière compréhensible pour la personne concernée. Cela nécessite une description claire des méthodes de calcul et des algorithmes utilisés. Les entreprises doivent notamment exposer

  • Quels procédés et modèles mathématiques ont été utilisés pour la prise de décision,
  • quelles variables d'entrée spécifiques ont été prises en compte dans l'évaluation
  • Comment l'ensemble de ces facteurs a conduit au résultat concret.


La simple communication d'une cote de crédit ou d'un niveau de risque sans autre explication ne suffit pas. Au contraire, une présentation transparente et compréhensible est nécessaire pour permettre à la personne concernée d'évaluer de manière réaliste les critères qui ont contribué à la prise de décision automatisée.

Un autre aspect central de la décision concerne la protection des secrets commerciaux et des données à caractère personnel de tiers. La CJCE a précisé que les entreprises ne peuvent pas invoquer le secret en bloc pour refuser de fournir des informations. Il faut au contraire mettre soigneusement en balance les intérêts de la personne concernée et les intérêts de protection économique de l'entreprise. Ce n'est que dans des cas exceptionnels, lorsqu'il est prouvé que les intérêts économiques sont gravement affectés, qu'une restriction de l'obligation d'information peut être justifiée.

En outre, la CJCE a clairement indiqué qu'il ne peut pas y avoir de refus absolu de fournir des informations. Si certaines informations ne peuvent pas être divulguées directement pour des raisons de confidentialité, il faut au moins prévoir une autre possibilité pour garantir le droit de la personne concernée. Par exemple, une divulgation à un organisme indépendant peut être envisagée. Autorité de surveillance ou un tribunal, afin de permettre un examen objectif de la prise de décision automatisée.

Impact de l'arrêt de la CJCE sur la pratique

La décision de la CJCE a des conséquences importantes pour les entreprises, en particulier pour celles qui ont recours à des processus décisionnels automatisés. Responsable Les organismes doivent maintenant s'assurer qu'ils répondent aux exigences accrues en matière de Transparence afin de garantir un traitement des données conforme à la législation.

  1. étendu Obligations d'information
    Les entreprises sont tenues d'expliquer de manière détaillée et compréhensible les processus décisionnels automatisés. Cela signifie que Personnes concernées Il doit être possible de comprendre quelles données d'entrée ont été utilisées et comment elles ont conduit à une certaine décision. La simple mention d'une évaluation automatisée n'est pas suffisante ; il faut au contraire que le fonctionnement soit divulgué de manière compréhensible pour la personne concernée.
  2. Difficulté d'invoquer le secret d'affaires
    La CJCE a précisé que les entreprises ne peuvent pas invoquer en bloc la protection des secrets d'affaires pour refuser de divulguer des informations. Au contraire, il faut examiner au cas par cas si des secrets d'affaires dignes de protection sont effectivement concernés. Si c'est le cas, il convient de procéder à une mise en balance avec les droits de la personne concernée. Dans ce contexte, les tribunaux ou les autorités de contrôle peuvent intervenir pour décider quelles informations doivent être divulguées.
  3. Nécessité de nouveaux mécanismes de contrôle
    Les autorités de protection des données et les tribunaux joueront à l'avenir un rôle plus important dans la mise en balance des obligations de transparence et de la protection des secrets d'affaires. Les entreprises devraient donc se préparer à justifier en détail leurs processus de mise en balance. Cela peut également conduire à une obligation accrue de documentation afin de pouvoir démontrer aux autorités de contrôle que les obligations de divulgation sont conformes à la RGPD ont été remplies.
  4. Effets sur les relations contractuelles
    Cette décision peut avoir des conséquences importantes pour les partenaires contractuels des entreprises. Les banques, les assurances et les opérateurs de téléphonie mobile, en particulier, qui ont recours à des contrôles de solvabilité automatisés, doivent s'assurer que leurs clients reçoivent des explications suffisamment compréhensibles sur les bases de la décision. Dans le cas contraire, des contrats pourraient être conclus ou renouvelés en raison d'un manque d'information. Transparence être contestée en justice.
  5. Adaptation des processus internes et des mesures de conformité
    Les entreprises doivent adapter leurs processus internes afin de répondre aux nouvelles exigences. Cela implique la mise en œuvre de mesures techniques et organisationnelles pour une gestion transparente des données. Documentation et la communication des mécanismes d'évaluation.

Conclusion

L'arrêt de la CJCE a mis en évidence le droit de Transparence en cas de décisions automatisées. Personnes concernées obtiennent désormais un cadre clairement défini et exécutable Droit d'accèsqui leur permet d'utiliser les Traitement de leurs données personnelles et, le cas échéant, de prendre des mesures juridiques.

Pour les entreprises, cela signifie qu'elles doivent réviser leurs processus et mécanismes internes de prise de décision automatisée. Elles doivent fournir des informations plus complètes et divulguer de manière compréhensible les algorithmes et les logiques de décision sous-jacents. Cela nécessite non seulement des adaptations techniques, mais aussi une collaboration plus étroite avec les autorités de protection des données afin de s'assurer que les nouvelles exigences sont respectées.

La décision montre en outre clairement que la protection des secrets commerciaux ne peut pas être invoquée de manière générale comme argument pour refuser de fournir des informations. Au contraire, les entreprises doivent procéder à une évaluation minutieuse au cas par cas et, le cas échéant, trouver d'autres moyens de fournir des informations pertinentes, par exemple en les divulguant aux autorités de contrôle ou aux tribunaux.

Source : Arrêt de la CJCE dans l'affaire C-203/22

Les tags :
Partager ce post :