Quels droits possède un emprunteur lorsqu’un scoring automatique pénalise un profil médical sensible ?

Lorsqu’un algorithme de scoring pénalise un emprunteur en raison d’un profil médical sensible, celui-ci dispose de droits forts : refus de la décision automatisée, accès aux données utilisées, et recours auprès de l’ACPR ou de la CNIL. Les données de santé constituent une catégorie spéciale au sens du RGPD (article 9) et ne peuvent, en principe, pas fonder une décision de crédit sans consentement explicite et base légale robuste.

Cadre réglementaire : données médicales, scoring et protection de l’emprunteur

Les données de santé, une catégorie spéciale à protection renforcée

Le Règlement Général sur la Protection des Données (RGPD, Règlement UE 2016/679) classe les données relatives à la santé parmi les « catégories particulières de données » à l’article 9. Leur traitement est en principe interdit, sauf exceptions strictement encadrées : consentement explicite de la personne concernée, nécessité pour des raisons d’intérêt public majeur, ou obligation légale. Dans le contexte du crédit immobilier, aucune banque ne peut légalement intégrer un diagnostic médical, un historique de pathologie chronique ou une invalidité dans un moteur de scoring sans base légale identifiée et documentée.

L’article 22 du RGPD confère par ailleurs à tout individu le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé — y compris le profilage — produisant des effets juridiques significatifs à son égard. Un refus de prêt immobilier entre clairement dans cette catégorie. L’emprunteur peut donc exiger l’intervention humaine, exprimer son point de vue et contester la décision. Ce droit est opposable directement à l’établissement de crédit, sans démarche préalable auprès d’un juge.

En France, la loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978, modifiée) transpose et complète ces dispositions. La CNIL dispose d’un pouvoir de contrôle et de sanction sur les traitements algorithmiques des établissements financiers, pouvant aller jusqu’à 4 % du chiffre d’affaires mondial annuel de l’entité concernée.

Mécanismes concrets : comment le scoring peut-il pénaliser un profil médical, et quels recours ?

Canaux d’entrée des données sensibles dans les modèles de scoring

Les données médicales n’entrent que rarement de façon directe dans un moteur de scoring bancaire classique. Elles peuvent toutefois y pénétrer de manière indirecte : via les relevés de compte (remboursements de mutuelles, achats en pharmacie, arrêts de travail visibles dans les flux de salaire), via les données Open Banking collectées sous DSP2, ou encore via les questionnaires d’assurance emprunteur. La Directive sur les Services de Paiement 2 (DSP2, transposée en droit français par l’ordonnance n° 2017-1252 du 9 août 2017) autorise l’accès aux données bancaires avec le consentement explicite du client (Banque de France, DSP2). Ce consentement ne saurait valoir autorisation implicite de traiter des données de santé inférées à partir des transactions.

L’ACPR, dans ses orientations sur l’utilisation des algorithmes d’octroi de crédit, rappelle que les établissements doivent être en mesure de justifier la pertinence et la proportionnalité de chaque variable intégrée dans leurs modèles (ACPR — Règles applicables aux établissements de crédit). Un algorithme qui pénalise systématiquement des profils présentant des dépenses de santé élevées sans démonstration de lien causal avec le risque de défaut s’expose à un risque de requalification en pratique discriminatoire.

{
  "type_requete": "contestation_scoring_medical",
  "emprunteur_id": "EMP-20260715-0042",
  "motif_invoque": "decision_automatisee_art22_RGPD",
  "donnees_contestees": ["flux_pharmacie", "arret_travail_infere"],
  "base_legale_traitement_declaree": null,
  "action_demandee": "intervention_humaine + acces_logique_algo",
  "autorite_saisie": "CNIL",
  "delai_reponse_attendu_jours": 30
}

Implications pratiques : automatisation, middleware et Open Banking responsable

Intégrer la conformité RGPD dès la conception des pipelines de scoring

Pour un middleware de crédit immobilier, la gestion des données médicales sensibles doit être traitée comme une contrainte de conception (privacy by design, RGPD art. 25), et non comme un filtre a posteriori. Concrètement, cela implique de mettre en place des règles d’exclusion automatique des variables corrélées à la santé lors de l’ingestion des flux DSP2 : catégories de marchands pharmaceutiques (MCC 5912, 5122), libellés de virement contenant des termes médicaux, ou montants récurrents vers des organismes de remboursement de soins. Ces exclusions doivent être documentées dans le registre des activités de traitement (RGPD art. 30).

L’ACPR attend des établissements qu’ils soient capables de produire, à tout moment, une documentation explicative de leurs modèles (model card, feature importance, tests d’équité) démontrant l’absence de proxy discriminatoire lié à la santé. Dans une architecture RAG appliquée au crédit, le moteur de récupération de contexte doit être paramétré pour ne jamais injecter de chunks contenant des données de santé dans le prompt soumis au LLM de scoring, sous peine d’engager la responsabilité de l’opérateur au titre du RGPD et des orientations ACPR.

Du côté de l’emprunteur, un middleware bien conçu peut jouer un rôle protecteur actif : en générant automatiquement une demande d’explication algorithmique (art. 22(3) RGPD) dès qu’un refus est détecté, en pré-remplissant le formulaire de saisine CNIL, et en alertant l’utilisateur sur les données potentiellement sensibles présentes dans ses relevés avant qu’il ne les transmette via Open Banking. C’est précisément ce que permet une couche d’orchestration IA positionnée entre l’emprunteur et les API bancaires.

Questions fréquentes

Conclusion & Perspective 2027

D’ici 2027, la convergence entre l’AI Act européen (Règlement UE 2024/1689, applicable aux systèmes d’IA à haut risque dès août 2026) et le RGPD va considérablement renforcer les obligations de transparence algorithmique pour les modèles de scoring de crédit. Les LLM embarqués dans les middlewares de crédit immobilier devront intégrer nativement des modules d’audit d’équité capables de détecter en temps réel tout proxy médical dans les features utilisées, de générer automatiquement les explications requises par l’article 22 RGPD, et de router les cas litigieux vers un réviseur humain qualifié — transformant ainsi la conformité réglementaire en avantage concurrentiel mesurable pour les établissements les plus avancés.

Sources utilisées

• DSP2 — Directive sur les services de paiement (Banque de France)
• ACPR — Règles applicables aux établissements de crédit