RGPD : L’algorithme de notation de la CAF attaqué au Conseil d’État
La Commission nationale de l'informatique et des libertés (CNIL) intensifie sa lutte pour faire respecter le Règlement général sur la protection des données (RGPD). Cette fois, c'est la Caisse d'allocations familiales (CAF) qui est dans son viseur. La CNIL a décidé de porter l'affaire devant le Conseil d'État, la plus haute juridiction administrative française, estimant que l'algorithme de notation utilisé par la CAF pour le versement des prestations sociales n'est pas conforme au RGPD.
Un outil de notation automatisé qui pose question
Depuis plusieurs années, la CAF utilise un algorithme pour noter les allocataires selon différents critères afin de déterminer le montant des aides auxquelles ils ont droit et de détecter d'éventuelles fraudes. Cet outil baptisé « Data mining » croise de nombreuses données personnelles :
- La composition et les revenus du foyer
- La situation professionnelle
- Le patrimoine
- Les données de consommation d'énergie ou de téléphonie
Chaque allocataire se voit ainsi attribuer une note sur 1000 points. Plus le score est élevé, plus la personne est considérée comme présentant un risque de fraude. C'est sur la base de cette notation que certains contrôles sont ensuite déclenchés.
Une « boîte noire » aux conséquences potentiellement lourdes
Pour la CNIL, cet algorithme pose plusieurs problèmes au regard du RGPD. D'abord, son fonctionnement est totalement opaque pour les allocataires concernés. Impossible de savoir précisément quelles données sont utilisées et comment elles sont pondérées pour aboutir à la note finale.
Les personnes fichées n'ont aucun moyen de connaître leur notation ni de la contester. C'est une véritable boîte noire, aux conséquences potentiellement très lourdes pour les allocataires.
Marie-Laure Denis, Présidente de la CNIL
La CNIL pointe aussi du doigt l'absence de proportionnalité et de nécessité de certaines données utilisées par rapport à la finalité de l'algorithme. Elle s'interroge notamment sur la pertinence d'exploiter des informations liées à la consommation d'énergie ou au patrimoine pour évaluer un « risque de fraude ».
Un précédent inquiétant pour les algorithmes publics ?
Au-delà du cas de la CAF, c'est toute la question des algorithmes utilisés par les administrations publiques qui est posée. De plus en plus d'outils de ce type sont déployés, que ce soit pour attribuer des places en crèche, octroyer des aides au logement ou lutter contre la délinquance.
Si le Conseil d'État donne raison à la CNIL, cela pourrait créer un précédent important et obliger l'État et les collectivités à revoir en profondeur certains algorithmes. L'enjeu : trouver un équilibre entre l'efficacité administrative permise par ces outils et le respect des droits des citoyens, à commencer par la protection de leurs données personnelles.
Les mois à venir seront décisifs et la décision très attendue. Une chose est sûre : le RGPD n'a pas fini de bousculer le fonctionnement de nos administrations et la manière dont elles traitent nos données !
