Le piège classique
Le considérant 72 rappelle une evidence souvent oubliee : le profilage n'est pas une zone grise echappant au RGPD, il est intégralement soumis au règlement (base légale, finalité, minimisation, transparence, droits des personnes). La CNPD et la CNIL sanctionnent régulièrement des organisations qui ont deploye des scores client, des moteurs de recommandation ou des outils de détection de fraude sans avoir identifié de base légale article 6, sans information article 13 spécifique au profilage, et sans évaluation d'impact alors que les lignes directrices EDPB WP251 l'imposent dans la plupart des cas.
Ce que le considérant 72 change concretement dans vos projets IA et analytics
- Tout score automatique (crédit, churn, fraude, RH, marketing predictif) est un traitement de données personnelles : il doit figurer au registre article 30 avec base légale identifiée.
- Les lignes directrices EDPB sur le profilage (WP251 rev.01) restent la référence d'interprétation, completees par les recommandations 2023 sur l'IA et les décisions automatisées.
- Une AIPD est presque toujours requise des qu'il y a évaluation systématique d'aspects personnels (liste CNPD du 18 octobre 2018).
- L'information article 13/14 doit mentionner explicitement le profilage, sa logique, ses conséquences, et le droit d'opposition article 21.
- Si le profilage produit des effets juridiques ou significatifs, l'article 22 s'applique en plus, avec interdiction de principe et exceptions strictes.
- L'arrivee du Règlement IA (UE 2024/1689) ajoute une couche pour les systèmes a haut risque, sans remplacer le RGPD : les deux regimes se cumulent.
Comment Luxgap automatise ce risque
Notre Luxgap Profiling Radar detecte automatiquement chaque algorithme de profilage actif dans votre SI, qualifié son niveau de risque article 22 et produit le dossier de conformité opposable a la CNPD avant qu'un contrôle ne le réclamé. L'outil scanne en continu vos environnements Salesforce, HubSpot, Dynamics 365, SAP SuccessFactors, Workday, Azure ML, Databricks, AWS SageMaker et Google Vertex AI pour materialiser tous les modèles predictifs reellement deployes, et non ceux declares par les metiers.
- Detecte chaque modèle de scoring, segmentation ou recommandation actif via les API natives de vos plateformes CRM, RH, marketing et data science.
- Classifie automatiquement chaque traitement selon la grille EDPB WP251 : profilage simple, décision automatisée article 22(1), ou exception article 22(2).
- Déclenche une AIPD prerempile des qu'un nouveau modèle depasse les seuils CNPD du 18 octobre 2018, avec analyse des risques et mesures d'attenuation suggerees.
- Genere les paragraphes d'information article 13 spécifiques au profilage, prets a intégrer dans vos politiques de confidentialité, declines par cas d'usage.
- Alerte en temps reel via Teams ou Slack quand un data scientist deploie un nouveau modèle en production sans base légale documentee.
- Produit un rapport PDF horodate cryptographiquement scelle, demontrant l'accountability article 5(2) sur l'ensemble de vos algorithmes, opposable lors d'un contrôle CNPD ou d'un audit Règlement IA.
Disponible en complement d'un mandat DPO Luxgap ou en brique SaaS dediee selon votre périmètre. Demandez un devis personnalise et nos équipes preparent une demonstration sur vos modèles reels, avec un scan gratuit sous 48h pour cartographier votre exposition au profilage avant tout engagement.
