Chapitre 6.5 — Décision automatisée, profilage & atelier

⏱️ TL;DR — L’article 22 protège contre la « justice de la machine » : une personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé — profilage compris — qui produit des effets juridiques ou l’affecte de manière significative. C’est une interdiction de principe, avec trois exceptions (nécessité contractuelle, autorisation légale, consentement explicite) — et même dans ces cas, des garanties sont obligatoires : intervention humaine, possibilité d’exprimer son point de vue et de contester la décision. On termine cette partie par un atelier grandeur nature : un parent veut accéder aux données de son enfant sur FormaCampus, puis les faire effacer. Étapes, délais, ce qu’on garde, ce qu’on supprime.

🎯 Objectifs

• Comprendre l’interdiction de principe de l’article 22 et ses trois exceptions.
• Identifier une décision exclusivement automatisée à effet significatif.
• Mettre en place les garanties : intervention humaine, contestation, point de vue.
• Dérouler une demande réelle d’accès puis d’effacement, de bout en bout.

Décision automatisée & profilage (art. 22)

Le profilage consiste à évaluer automatiquement des aspects d’une personne (ses performances, son comportement, ses préférences) pour en déduire ou prédire quelque chose. En soi, profiler n’est pas interdit. Ce que l’article 22 encadre strictement, c’est le fait de décider du sort d’une personne par la seule machine, sans humain dans la boucle, quand cette décision a un poids réel.

L’interdiction de principe

La règle : une personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé — y compris le profilage — produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire. Deux conditions pour que l’interdiction s’applique :

• la décision est exclusivement automatisée — aucune intervention humaine réelle (un humain qui se contente de valider mécaniquement ne compte pas) ;
• elle a un effet juridique (refus d’un droit, d’un contrat) ou un effet significatif comparable (exclusion d’un service, refus d’accès à une formation).

Une recommandation de contenu ou un simple affichage personnalisé n’entrent en général pas dans ce champ — l’effet n’est pas « significatif » au sens du texte. En revanche, refuser automatiquement l’accès à un cursus sur la foi d’un score, sans qu’aucun humain ne puisse revoir la décision, y entre pleinement.

Les trois exceptions — et les garanties obligatoires

L’interdiction tombe dans trois cas, et seulement ceux-là :

1. la décision est nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne et le responsable ;
2. elle est autorisée par le droit de l’Union ou de l’État membre ;
3. elle est fondée sur le consentement explicite de la personne.

Mais l’exception n’est jamais un blanc-seing. Même dans ces cas (au moins pour le contrat et le consentement), le responsable doit mettre en place des garanties : au minimum le droit d’obtenir une intervention humaine, celui d’exprimer son point de vue, et celui de contester la décision. La personne doit aussi être informée de la logique sous-jacente. Et attention : sur des données sensibles (art. 9) comme sur des mineurs, le régime est encore plus restrictif.

⚠️ Piège — Le faux humain dans la boucle. Faire « valider » une décision automatisée par un opérateur qui clique « OK » sans pouvoir réellement l’examiner ni la changer ne suffit pas : la décision reste, en pratique, exclusivement automatisée. L’intervention humaine doit être effective — un humain compétent, qui a le pouvoir et le temps de revoir et d’infirmer la machine. Sinon, l’exception ne tient pas.

📚 Le texte — L’encadrement des décisions exclusivement automatisées et du profilage est à l’article 22 : interdiction de principe (22.1), trois exceptions — contrat, droit UE/national, consentement explicite (22.2) — garanties dont l’intervention humaine (22.3), et restrictions renforcées sur les données sensibles (22.4). L’information sur la logique du traitement se relie aux articles 13-14-15 (Partie 8).

🧭 Sur FormaCampus — FormaCampus utilise un modèle d’IA pour l’aide et la correction (voir le fil rouge). Tant qu’il assiste un formateur — qui reste libre de suivre ou non la suggestion — on est hors de l’article 22 : la décision finale est humaine. La ligne rouge serait de laisser l’algorithme décider seul, par exemple exclure automatiquement un stagiaire d’un parcours ou lui refuser une certification sur un score, sans revue humaine possible. Si un tel dispositif devait exister, il faudrait une exception valable (contrat, consentement explicite) et les garanties : intervention humaine effective, droit de contester, information sur la logique — et une prudence maximale puisque des mineurs sont concernés.

🛠️ Atelier — Un parent veut voir puis effacer les données de son enfant

Mettons tout bout à bout. Situation : Madame Roux écrit à FormaCampus. Elle veut d’abord accéder aux données de son fils Lucas, 12 ans, élève au collège Jean-Moulin qui utilise la plateforme ; puis elle veut les faire effacer. Voici comment on répond, proprement, dans les délais.

Étape 1 — Réceptionner et qualifier (jour 0)

La demande arrive par tout moyen (ici un e-mail à dpo@formacampus.fr) : elle est recevable telle quelle, et le délai d’un mois commence aujourd’hui. On qualifie tout de suite deux choses :

• Qui est responsable ? Lucas est élève d’un collège qui utilise FormaCampus dans sa mission éducative. Sur ce périmètre, l’école est responsable de traitement et FormaCampus est sous-traitant (Partie 3). Donc FormaCampus ne décide pas seul : il transmet la demande au collège et l’assiste techniquement (art. 28). Le collège reste le répondant vis-à-vis du parent.
• Le demandeur a-t-il qualité ? Lucas a 12 ans, soit moins de 15 ans (seuil français, chapitre 5.5). Un titulaire de l’autorité parentale peut exercer les droits au nom de l’enfant. On vérifie donc, de façon proportionnée, que Madame Roux est bien titulaire de l’autorité parentale — sans sur-collecter (pas de dossier complet : une confirmation raisonnable du lien suffit).

Étape 2 — Répondre à l’accès (art. 15)

Une fois l’identité et la qualité vérifiées, on assemble la réponse d’accès : une copie des données de Lucas plus leur contexte (finalités, destinataires, durée, droits) — pas un simple dump. Concrètement, pour Lucas :

On envoie cette réponse lisible, en expliquant en clair à quoi servent les données et à qui elles sont transmises. La réponse d’accès et la demande sont tracées dans le registre des demandes.

Étape 3 — Traiter l’effacement (art. 17), avec ses limites

Le parent demande maintenant l’effacement. On ne répond ni « tout supprimé » ni « impossible » : on trie, donnée par donnée.

• On supprime ce qui n’a plus de motif de conservation : progression, réponses de quiz, préférences, entrées d’index de recherche, journaux devenus inutiles. Suppression en cascade (chapitre 6.3), y compris chez les sous-traitants concernés (art. 19 et art. 28).
• On conserve ce qui reste nécessaire ou imposé : ce que l’école (responsable) doit garder pour sa mission ou une obligation légale scolaire relève de sa décision, pas de celle de FormaCampus. Une éventuelle facture liée au service, sous obligation comptable, est isolée/anonymisée et conservée jusqu’à son échéance légale, puis purgée.
• Point sensible : l’aménagement de handicap (donnée de santé) est supprimé avec le reste sauf motif de conservation propre à l’école. On ne le garde pas « au cas où ».

Comme FormaCampus est sous-traitant ici, la décision d’effacer (et ce qui doit rester au titre de la mission éducative) appartient au collège responsable ; FormaCampus exécute l’effacement technique sur instruction et confirme sa réalisation.

Étape 4 — Clôturer et prouver (avant J+30)

On répond au parent dans le mois : ce qui a été communiqué (accès), ce qui a été supprimé, ce qui est conservé et pourquoi (obligation légale, décision de l’école responsable), et quand le reste sera purgé. Si le dossier était complexe, on aurait pu prolonger de deux mois — à condition d’avoir prévenu du report dans le premier mois. Tout est tracé : identité vérifiée, rôle (ST), instructions de l’école, actions d’effacement, confirmation des sous-traitants. C’est l’accountability (art. 5.2) : une demande non prouvable est une demande non traitée.

💡 Réflexe — Pour toute demande, déroule toujours le même quatuor : (1) qualifier (quel droit ? RT ou ST ? le demandeur a-t-il qualité ?), (2) vérifier l’identité sans sur-collecter, (3) exécuter le droit avec ses limites (cascade, obligations légales, données sensibles), (4) répondre et tracer dans le mois. Ce squelette couvre tous les droits de la Partie 6.

🔒 Côté personne concernée — Madame Roux ne connaît ni l’article 15 ni la dualité RT/ST. Ce qu’elle attend : voir clairement ce qu’on sait de son fils, obtenir la suppression de ce qui n’a pas à rester, et une explication honnête de ce qui est conservé (et pourquoi). Une réponse nuancée et datée — « voici les données, voici ce que je supprime aujourd’hui, voici la seule chose que je garde, imposée par la loi, jusqu’à telle date » — inspire plus confiance qu’un « c’est effacé » expéditif et faux.

✏️ Exercices

Exercice 1 — Article 22 ou pas ? FormaCampus déploie un module qui refuse automatiquement l’inscription d’un stagiaire à un parcours avancé si son score reste sous un seuil, sans qu’aucun formateur ne puisse revoir la décision. Est-ce concerné par l’article 22 ? À quelles conditions serait-ce possible ?

Exercice 2 — Qui répond au parent ? Reprends l’atelier. Un dev de FormaCampus veut répondre directement au parent en supprimant tout ce qu’il trouve. Quelle est l’erreur de rôle, et quelle est la bonne marche à suivre ?

Exercice 3 — Le tri de l’effacement. Pour Lucas (12 ans), classe ces éléments en « supprimé » ou « conservé, et pourquoi » : (a) ses réponses de quiz, (b) son aménagement de handicap, (c) une facture liée au service sous obligation comptable, (d) son entrée dans l’index de recherche.

🧠 Quiz de révision

Partie suivante : Partie 7 — Consentement & cookies — le consentement valable (libre, spécifique, éclairé, univoque), son retrait, et le régime propre aux cookies et traceurs — la base légale la plus visible… et la plus mal maîtrisée.