Décision automatisée (article 22 du RGPD)

Une décision entièrement automatisée est une décision prise sans intervention humaine effective. L'article 22 du RGPD l'encadre : une personne a le droit de ne pas faire l'objet d'une telle décision produisant des effets juridiques la concernant ou l'affectant de manière significative, sauf si elle est nécessaire à un contrat, autorisée par le droit, ou fondée sur son consentement explicite. Dans ces cas, des garanties s'imposent : obtenir une intervention humaine, exprimer son point de vue et contester la décision. Un refus de crédit en est l'exemple type. Le point souvent mal compris est que la validation humaine ne compte que si elle est réelle : une personne qui entérine un score sans pouvoir ni compétence pour le discuter ne fait pas sortir la décision du champ de l'article 22.