La Cour de justice de l’Union européenne poursuit le développement de sa jurisprudence en matière de droit d’accès et de prise de décision automatisée.
Dans un arrêt rendu le 27 février 2025, la Cour s’est penchée sur le cas d’une personne, CK, à qui un opérateur de téléphonie mobile avait refusé un contrat d’un montant de 10 euros par mois. Ce refus reposait sur une évaluation automatisée réalisée par une société spécialisée (D&B), qui avait conclu que CK ne présentait pas une solvabilité financière suffisante.
CK a exercé son droit d’accès pour obtenir des explications sur les critères ayant conduit à cette décision automatisée. Estimant que les informations qui lui avaient été fournies étaient insuffisantes, elle a saisi la justice.
Cet arrêt apporte plusieurs enseignements importants et confirme des principes clés en matière de protection des données personnelles :
Tout d’abord, s’agissant de la définition des informations utiles et de la logique sous-jacente, la Cour analyse les différentes traductions des termes « informations utiles » et « logique sous-jacente » dans plusieurs langues officielles de l’Union. Elle en conclut que ces notions doivent être comprises de manière complémentaire :
- Les informations doivent être utiles (interprétation en français, néerlandais et portugais),
- Pertinentes (en roumain),
- Importantes (en espagnol et polonais),
- Intelligibles (en allemand et en anglais).
Ainsi, l’obligation d’information impose non seulement de fournir des données pertinentes, mais aussi de veiller à leur clarté et leur accessibilité.
Ensuite, selon la Cour, le droit d’accès doit permettre une contestation effective des décisions automatisée. La CJUE rappelle que, dans le cadre d’une décision automatisée individuelle, la personne concernée doit pouvoir comprendre les raisons qui ont conduit à cette décision afin d’exercer son droit de contestation ou d’exprimer son point de vue.
Concrètement, cela implique que les informations fournies doivent :
- Être concises, transparentes, compréhensibles et aisément accessibles,
- Expliquer clairement les procédures et les principes appliqués pour traiter les données personnelles et aboutir au résultat final,
- Permettre d’identifier pourquoi les données fournies par D&B semblaient indiquer une solvabilité suffisante, alors que la décision finale conclut le contraire.
Enfin, toujours selon la Cour, les droits d’autrui et le secret des affaires peuvent limiter l’accès à certaines informations.
La Cour souligne que les droits et libertés d’autres personnes peuvent restreindre non seulement le droit à une copie des données (article 15, §4 du RGPD), mais aussi le droit d’accès aux informations sur la logique de la décision automatisée.
Bien que cette limitation soit explicitement prévue pour le droit à la copie, la CJUE estime qu’elle doit aussi s’appliquer au droit d’accès aux explications sur la décision automatisée. Cette approche repose sur le principe selon lequel le droit à la protection des données n’est pas absolu et doit être mis en balance avec d’autres droits fondamentaux.
Ainsi, lorsque les informations demandées sont susceptibles de révéler un secret d’affaires, elles ne doivent pas être communiquées directement à la personne concernée, mais transmises à l’autorité de contrôle ou à une juridiction compétente. Cette instance sera alors chargée d’effectuer une pondération des intérêts en jeu et de déterminer dans quelle mesure l’accès aux informations peut être accordé.
En résumé, cet arrêt renforce l’exigence de transparence en matière de décisions automatisées tout en précisant les limites que peuvent poser le secret des affaires et les droits des tiers.