Profilage (RGPD)

Le 7 décembre 2023, la Cour de justice de l'Union européenne juge, dans l'affaire SCHUFA (C-634/21), que le calcul d'un score de solvabilité peut constituer à lui seul une décision automatisée quand un tiers s'y fie de manière déterminante. En amont de toute décision, ce score relève d'une notion plus large, que le RGPD définit à son article 4, point 4 : le profilage. C'est toute forme de traitement automatisé de données personnelles qui sert à évaluer certains aspects d'une personne, notamment à analyser ou prédire sa situation économique, sa santé, sa fiabilité, son comportement ou ses déplacements. Un modèle de prime auto qui prédit la fréquence d'un conducteur fait du profilage. Un score de fraude aussi, comme une segmentation marketing par appétence. Le profilage ne suppose aucune décision et relève des règles générales du règlement, alors que l'article 22, traité dans la fiche sur la décision automatisée, ne vise que la décision fondée exclusivement sur un traitement automatisé et produisant des effets juridiques ou significatifs. En pratique, l'assureur doit annoncer le profilage dans l'information des articles 13 et 14, lui donner une base légale et, souvent, conduire une analyse d'impact au titre de l'article 35. La base légale commande le droit d'opposition de l'article 21. La tarification d'un contrat demandé repose en général sur l'exécution du contrat ou les mesures précontractuelles, et l'assuré ne peut pas s'y opposer à ce titre. La lutte contre la fraude repose le plus souvent sur l'intérêt légitime, que le considérant 47 cite expressément : l'assuré peut s'opposer, et l'assureur doit alors démontrer des motifs légitimes et impérieux qui prévalent, argumentaire que les services de fraude ont intérêt à écrire avant la première demande. Pour la prospection, l'opposition est absolue et l'assureur n'a rien à démontrer.