Quand le profilage et les decisions automatisees s'appliquent, et que faire ensuite

Le profilage et les decisions automatisees s'appliquent lorsqu'un workflow SaaS utilise des donnees personnelles pour evaluer des personnes, predire un comportement, classer un risque, influencer le traitement ou prendre des decisions sur des individus. La reponse n'est pas de bloquer chaque idee produit, mais de classifier le workflow, comprendre l'impact, nommer un owner et mettre des garanties proportionnees.

Dans le GDPR, le profilage est un traitement automatise de donnees personnelles pour evaluer des aspects personnels. La decision automatisee est une decision prise par des moyens technologiques sans intervention humaine. L'article 22 est plus etroit: il vise surtout les decisions exclusivement automatisees ayant des effets juridiques ou similaires significatifs.

Un score, un flag, un classement ou une recommandation peut necessiter des controles meme hors article 22. Pour les erreurs a eviter, lisez les erreurs courantes. Pour l'operationnel, utilisez le guide pratique.

La question de declenchement

Le workflow utilise-t-il des donnees personnelles pour evaluer, scorer, classer, predire, recommander, approuver, refuser, suspendre, prioriser, orienter ou fixer un prix pour une personne?

Si oui ou peut-etre, ouvrez une revue. Elle peut etre courte pour un risque faible. Elle doit etre plus approfondie si l'acces, l'eligibilite, l'application de regles, le prix, l'emploi, la finance, l'education, la sante, la securite ou une opportunite importante est affectee.

Quand cela s'applique souvent

Cela s'applique souvent lorsqu'un systeme evalue une personne ou deduit quelque chose sur elle: score fraude, trust score, segmentation comportementale, prediction de churn, lead scoring, analytics RH, customer health score lie a des contacts nommes, risque identite, moderation, ranking securite, prix personnalise ou sortie IA classant une personne.

Le systeme n'a pas besoin de prendre la decision finale. Si un humain utilise le score, le profilage peut quand meme exister.

Quand l'article 22 peut s'appliquer

L'article 22 peut s'appliquer quand la decision est exclusivement automatisee, concerne une personne et produit des effets juridiques ou similaires significatifs.

L'intervention humaine doit etre significative. Une personne qui valide la machine sans contexte, temps, autorite ou capacite de changer le resultat est une preuve faible. Si l'article 22 s'applique, il faut une voie permise et des garanties comme intervention humaine, possibilite de donner son point de vue et contestation.

Que documenter d'abord

Commencez par un court dossier operationnel: finalite, personnes concernees, donnees d'entree, systeme ou fournisseur, owner, sortie, utilisateurs de la sortie, impact possible, base legale, retention, securite et emplacement des preuves.

Classez ensuite le workflow: automatisation ordinaire, profilage avec usage humain, aide automatisee a la decision ou decision exclusivement automatisee avec impact significatif. L'impact est central.

Que faire ensuite

Faible risque: owner, inputs, finalite, transparence, retention et trigger de revue. Risque moyen: revue privacy, fournisseur, qualite des donnees, support, plaintes et monitoring. Fort impact: DPIA, revue juridique, tests biais et precision, vraie revue humaine, overrides et monitoring planifie.

Pour l'article 22, concevez intervention, contestation, explication et trace de decision avant le lancement.

FAQ

Quand cela s'applique-t-il aux SaaS?

Quand un produit, workflow interne ou fournisseur utilise des donnees personnelles pour scorer, classer, predire, signaler, recommander, approuver, refuser, suspendre, prioriser ou orienter des individus.

Que documenter d'abord?

Owner, donnees d'entree, sortie, usage decisionnel, impact probable, classification, revue humaine, transparence et emplacement des preuves.

Un reviewer humain suffit-il?

Seulement si la revue est significative, avec contexte, temps, autorite et capacite de changer le resultat automatise.

Sources

• Union europeenne, Reglement general sur la protection des donnees.
• Comite europeen de la protection des donnees, lignes directrices sur les decisions automatisees et le profilage.
• Information Commissioner's Office, guidance on automated decision-making and profiling.
• Information Commissioner's Office, Rights related to automated decision making including profiling.