AG : les refus automatisés d'options de paiement peuvent violer le RGPD

L'avocate générale Laila Medina a proposé que le fait de refuser à un client le choix du paiement sur facture ou en plusieurs fois, au seul motif d'une évaluation automatisée de sa solvabilité, puisse relever de l'interdiction, prévue par le RGPD, des décisions fondées exclusivement sur un traitement automatisé — mais uniquement lorsque ce refus est susceptible d'empêcher purement et simplement la conclusion du contrat de venteEuropa. Dans ses conclusions du 15 octobre 2026 dans Case C-568/25, sur renvoi de l'Oberster Gerichtshof (Cour suprême, Autriche), elle propose des réponses à trois questions relatives à l'Article 22(1) et à l'Article 22(2)(a) de Regulation (EU) 2016/679 ; la Cour elle-même ne s'est pas encore prononcéeEuropa.

Le litige concerne la société de vente par correspondance Universal Versand, qui reçoit des dizaines de milliers de commandes autrichiennes par mois, dont environ 90 % avec paiement fractionné ou sur facture. Avant d'accorder de telles modalités, la société effectue un contrôle automatisé de solvabilité combinant une notation interne de la probabilité de défaut avec, pour les nouveaux clients, une interrogation auprès d'une société externe de renseignements sur le crédit. Les clients inconnus sont refusés d'office ; les clients connus reçoivent un signal à code couleur, le rouge signifiant un refus automatique et le jaune un contrôle manuel de la base de données, et les clients refusés peuvent demander un réexamen manuel. L'association de consommateurs Verein für Konsumenteninformation invoque une violation systématique de l'Article 22 du RGPD ; la société conteste tout effet significatif et invoque la nécessité contractuelle.

Sur la première question, l'avocate générale propose une réponse affirmative conditionnelleEuropa. L'Article 22(1) exige trois conditions cumulatives — une décision, fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou des effets significatifs similaires — et seule la troisième est contestée. Il appartient à la juridiction de renvoi d'apprécier si le refus de ces modalités la remplit, à la lumière de l'arrêt SCHUFA Holding (Scoring) (Case C-634/21) : dans cette affaire, une valeur de probabilité générée automatiquement a été qualifiée de décision affectant une personne de manière significative parce que les banques s'y fiaient à un point tel qu'une note basse conduisait presque systématiquement au refus du prêt. L'analogie dépend en partie de la question de savoir si les contrats prévoyant un paiement sur facture constituent un crédit aux consommateurs — la Directive 2008/48/EC peut les exclure en vertu de l'Article 2(2)(f), même si l'Autriche était libre de les traiter comme tels — mais même sans cela, les clients incapables de payer d'avance par les autres moyens imposés (carte de crédit ou PayPal) ne peuvent pas conclure la vente du tout, comme pour un prêt refusé.

S'agissant de la dérogation pour nécessité contractuelle de l'Article 22(2)(a), les conclusions proposent le critère strict en deux étapes issu de la jurisprudence relative à l'article 6, paragraphe 1, point b)Europa : l'évaluation doit être objectivement indispensable à l'objet principal du contrat — ici, le transfert de biens contre paiement, où la proposition d'un moyen de paiement adapté garantit l'exécution — sans autre solution moins intrusive et praticable. Cela exige de démontrer un lien objectif entre l'objet du contrat et l'évaluation de la solvabilité, et que les données collectées sont objectivement appropriées et strictement nécessaires à cette fin au regard du principe de minimisation des données énoncé à l'article 5. Quelles données ont été collectées, pour quelles raisons, ainsi que leur caractère approprié doivent être prouvés par la société en vertu de la règle de responsabilité prévue à l'article 5, paragraphe 2.

Sur la troisième question, la dérogation exige que la décision automatisée elle-même — et non une décision quelconque — soit nécessaireEuropa : l'article défini (« the decision ») renvoie à la décision fondée exclusivement sur un traitement automatisé visée à l'Article 22(1), comme le confirment le considérant 71 et l'interprétation stricte due aux dérogations. La simple commodité commerciale ne suffit pas : les volumes de commandes, l'attente des clients d'une réponse instantanée lors du règlement en ligne et les économies réalisées par l'entreprise ne comptent que s'il est objectivement démontré qu'ils rendent l'automatisation indispensable — par exemple lorsqu'un réexamen humain serait pratiquement irréaliste au vu des volumes de données. Une proposition de train de mesures numériques (« omnibus ») de la Commission, qui clarifierait ce point, ne peut affecter cette lecture, car elle n'est pas entrée en vigueur.

Base juridique : Regulation (EU) 2016/679, Articles 4(4), 5, 6(1)(b) et 22 ; conclusions de l'avocate générale du 15 octobre 2026 dans Case C-568/25 ; arrêt du 7 décembre 2023 dans Case C-634/21.