CJUE | Arrêt du 27 février 2025 | C-203/22 | Dun & Bradstreet Austria │ C-203-22-ESSENTIELS

1. Le droit à l’explication algorithmique est un droit concret, pas formel
L’article 15 §1 h) du RGPD garantit à toute personne soumise à une décision automatisée (scoring, profilage) le droit d’obtenir l’explication de la procédure et des principes concrètement appliqués à ses données pour produire son résultat. Une description générique du système ne satisfait pas à cette obligation. L’explication doit être individualisée, intelligible et suffisante pour permettre une contestation effective.

2. Le droit d’accès et le droit de contestation sont fonctionnellement liés
Les informations communiquées au titre de l’article 15 §1 h) doivent permettre à la personne concernée d’exercer effectivement ses droits au titre de l’article 22 §3 du RGPD (exprimer un point de vue, obtenir une intervention humaine, contester la décision). L’explication n’est « utile » au sens du règlement que si elle remplit cette fonction d’effectivité des droits.

3. Le secret d’affaires ne constitue pas un veto
Lorsque le responsable du traitement estime que les informations à communiquer constituent des secrets d’affaires ou des données de tiers protégées, il est tenu de les soumettre à l’autorité de contrôle ou à la juridiction compétentes. C’est à ces tiers institutionnels qu’il revient de pondérer au cas par cas les droits en présence. Le responsable du traitement ne peut pas décider seul de refuser l’accès.

4. Les exclusions législatives nationales sont incompatibles avec le RGPD
La disposition autrichienne (art. 4 §6 DSG) excluant en principe le droit d’accès en cas de risque pour un secret d’affaires est contraire au RGPD : un État membre ne peut pas prescrire par avance le résultat d’une pondération que le droit de l’Union impose d’effectuer individuellement. Toute règle nationale instaurant une exclusion générale du droit d’accès au profilage est invalidée par ce raisonnement.

5. La procédure de médiation institutionnelle est le cœur du dispositif
L’arrêt institue une architecture procédurale : transparence maximale en régime de principe ; soumission obligatoire à l’autorité de contrôle ou au juge en régime d’exception (secret d’affaires ou données de tiers). Ce mécanisme garantit à la fois l’effectivité du droit d’accès et la protection des intérêts commerciaux légitimes, en confiant la pondération à un tiers impartial plutôt qu’au responsable du traitement lui-même.

POINTS ESSENTIELS

RENVOI PRÉJUDICIEL – PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL – RÈGLEMENT (UE) 2016/679 – ARTICLE 15, PARAGRAPHE 1, SOUS H) – PRISE DE DÉCISION AUTOMATISÉE, Y COMPRIS UN PROFILAGE – “SCORING” – APPRÉCIATION DE LA SOLVABILITÉ D’UNE PERSONNE PHYSIQUE – ACCÈS AUX INFORMATIONS UTILES CONCERNANT LA LOGIQUE SOUS-JACENTE AU PROFILAGE – VÉRIFICATION DE L’EXACTITUDE DES INFORMATIONS FOURNIES – DIRECTIVE (UE) 2016/943 – ARTICLE 2, POINT 1 – SECRET D’AFFAIRES – DONNÉES À CARACTÈRE PERSONNEL DE TIERS