Alors que le projet de loi adaptant le droit français au RGPD autorise les acteurs publics à prendre des décisions individuelles sur le seul fondement d’algorithmes, le Conseil constitutionnel a lancé un message clair aux administrations : faute de transparence, ces actes pourront être annulés.

À ce jour, aucune « décision produisant des effets juridiques à l'égard d'une personne » ne peut être prise sur le seul fondement d'un « traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité ». Une protection posée par la loi « Informatique et Libertés » de 1978, notamment en vue d’éviter les profilages.

« Il ne faut pas se voiler la face : le calcul des impôts, depuis des années, il ne fait jamais intervenir aucun humain », a toutefois lancé Perica Sucevic, conseiller juridique à la Direction interministérielle au numérique (DINSIC), mardi 12 juin lors d’une audition parlementaire. « Oui, c’était déjà le cas », a-t-il insisté, qualifiant de « mythe » le fait qu'aucune décision individuelle ne puisse être prise exclusivement par une machine.

Difficile en effet de voir où les agents publics interviennent aujourd’hui dans le calcul de nombreuses aides ou même impôts : taxe d’habitation, prime d’activité, APL, redevance TV... On pourrait également citer le cas d’Admission Post-Bac, qui a lui aussi fait couler beaucoup d’encre.

Des décisions 100 % automatisées désormais autorisées, sous conditions

Le législateur a toutefois profité du projet de loi sur le RGPD pour procéder à une sorte de rattrapage.

Dès que le texte aura été promulgué par Emmanuel Macron, les décisions administratives relevant exclusivement de traitements automatisés seront officiellement autorisées, sous réserve de respecter plusieurs conditions :

• Qu’une « mention explicite » avertisse l’usager qu’une décision a été prise à son encontre par le biais d’un algorithme, et qu’il a le droit de se faire expliciter le fonctionnement de celui-ci « sous une forme intelligible ».
• Que les « règles » définissant le traitement ainsi que ses « principales caractéristiques » de mise en œuvre soient communiquées – sur demande – à la personne concernée, « à l’exception des secrets protégés par la loi ».
• Que l’algorithme ne fonctionne pas à partir de données jugées sensibles (orientation sexuelle, convictions religieuses, origine ethnique, données biométriques...).

Le Conseil constitutionnel pose sa grille de lecture

Invité à se prononcer sur la conformité de ces dispositions au texte suprême, le Conseil constitutionnel a validé, mardi 12 juin, ce qui deviendra bientôt le 2° de l’article 10 de la loi Informatique et Libertés.

Les « Sages » ont véritablement saisi la balle au bond en exposant – de manière plutôt détaillée – leur lecture de ces dispositions. « Le seul recours à un algorithme pour fonder une décision administrative individuelle est subordonné au respect de trois conditions », préviennent ainsi les juges (notre actualité).

Premièrement, toute « décision administrative individuelle doit mentionner explicitement qu'elle a été adoptée sur le fondement d'un algorithme ». Les « principales caractéristiques de mise en œuvre de ce dernier doivent être communiquées à la personne intéressée, à sa demande », poursuit la décision – histoire de bien enfoncer le clou et rappeler les obligations nées de la loi Numérique de 2016, et pourtant largement ignorées des administrations.

La haute juridiction a ensuite introduit une déduction qui (et c’est là que ça devient plus intéressant) ne figure pas dans la loi : « Lorsque les principes de fonctionnement d'un algorithme ne peuvent être communiqués sans porter atteinte à l'un des secrets ou intérêts énoncés au 2° de l'article L. 311 - 5 du Code des relations entre le public et l'administration, aucune décision individuelle ne peut être prise sur le fondement exclusif de cet algorithme. »

En clair, sans transparence, pas de décision administrative 100 % automatisée. Les acteurs publics ne pourront pas se protéger derrière les secrets justifiant aujourd’hui l’opacité sur de nombreux documents administratifs : secret de la défense nationale, risques d’atteinte à la sécurité des systèmes d'information des administrations, au déroulement des procédures judiciaires, à la monnaie et au crédit public, etc.

Si la Direction générale des finances publiques (DGFiP) veut par exemple continuer de prendre ses avis de taxe d’habitation sur le seul fondement d’algorithmes, elle devra non seulement appliquer la loi Numérique et intégrer une « mention explicite » informant le contribuable qu’un programme informatique a calculé le montant de sa taxe, mais aussi – et surtout – être capable d’expliquer à chaque demandeur comment le traitement en question a été mis en œuvre à son égard. Une épreuve à laquelle Bercy continue pour l’instant de se soustraire, comme Next INpact a malheureusement eu l’occasion de le constater, jusque devant la CADA (voir notre article).

Deuxièmement, le Conseil constitutionnel explique sans grande surprise que chaque décision administrative individuelle devra « pouvoir faire l'objet de recours administratifs ». L’administration mise en cause sera alors « tenue de se prononcer sans pouvoir se fonder exclusivement sur l'algorithme ». Les « Sages » insistent ici sur le fait que le juge pourra « exiger de l'administration la communication des caractéristiques de l'algorithme ».

Troisièmement, le recours exclusif à un algorithme reste proscrit si le traitement porte sur des « données sensibles », rappelle la haute juridiction.

Avertissement clair quant au recours à des algorithmes auto-apprenants

Les juges en profitent enfin pour prévenir les acteurs lorgnant un peu trop sur les potentialités de l’intelligence artificielle et du « machine learning » : « Ne peuvent être utilisés, comme fondement exclusif d'une décision administrative individuelle, des algorithmes susceptibles de réviser eux-mêmes les règles qu'ils appliquent, sans le contrôle et la validation du responsable du traitement. »

« En précisant clairement sa position, le Conseil constitutionnel pose des bornes aux expériences de justice prédictive qui, précisément, reposent sur ce type d'algorithmes, commente la professeure de droit public Roseline Letteron, sur son blog « Libertés, libertés chéries ». Il rend ainsi un fier service aux juridictions suprêmes, Conseil d'État et Cour de cassation, qui souhaitent conserver le contrôle et le pilotage des expériences dans ce domaine. »

Un message à l’attention du juge administratif

Contactée par nos soins, la juriste explique que les « Sages » ne se sont pas contentés de procéder à un simple contrôle de proportionnalité. La haute juridiction a surtout profité de l’opportunité qui lui était donnée pour envoyer différents messages, notamment sur les algorithmes auto-apprenants et sur les décisions administratives entièrement automatisées.

Sur ce second dossier, « le Conseil fixe des critères qui sont ceux de la décision administrative en droit public, décrypte Roseline Letteron. Ce sont des critères de procédure, notamment celui qui exige la motivation de l’acte défavorable ou pris en considération de la personne. »

Et pour cause : les juges de la Rue de Montpensier préviennent clairement que faute de « mention explicite » et d’explicitation de ses algorithmes, sur demande, une décision administrative individuelle est illégale.

Faut-il pour autant en déduire que les prochains avis de taxe d’habitation seront automatiquement annulés si la DGFiP ne change pas de fusil d’épaule d’ici quelques mois ? Non. « Le Conseil constitutionnel envoie un signal au juge administratif, en disant « vous avez là des éléments pour annuler, vous, la décision ». C'est un billard à trois bandes entre le Conseil constitutionnel, le législateur et le juge administratif », analyse Roseline Letteron.

« C’est aussi fort que si le législateur l’avait directement inscrit dans la loi », nous glisse au passage un bon connaisseur du dossier. Mais il appartiendra à chaque citoyen de saisir la justice, s’il estime que ses droits n’ont pas été respectés.

La transparence, une « charge réelle » pour les services administratifs

Ce point avait d’ailleurs été assez longuement débattu entre Sénat, gouvernement et Assemblée nationale. La Haute assemblée, estimant que les administrations piétinaient la loi Numérique, avait voulu inscrire dans la loi la nullité automatique de toutes les décisions administratives prises sur le fondement (même partiel) d’un algorithme.

L’exécutif, qui était fermement opposé à cette mesure, avait finalement lâché du lest au Palais Bourbon en proposant une sorte de compromis : une nullité automatique pour les seules décisions relevant exclusivement de traitements algorithmiques, et ce à compter du 1er juillet 2020 uniquement. Mounir Mahjoubi, le secrétaire d’État au Numérique, avait fait valoir que l’application de la loi Lemaire était synonyme de « charge réelle » pour les administrations, en ce qu’elle imposait « un traitement au cas par cas ».

« Il est tout de même paradoxal que l'administration, alors même qu'elle se verrait désormais autorisée à prendre des décisions sur le seul fondement d'un traitement algorithmique, ne soit pas en mesure de l'indiquer sur le texte de ces décisions et de respecter ainsi une obligation légale qui lui incombe depuis la loi du 7 octobre 2016 pour une République numérique », avait alors rétorqué la rapporteure du Sénat, Sophie Joissains.

Certains noteront enfin que le Conseil constitutionnel ne s’est pas penché sur les dispositions qui autorisent certains acteurs privés, dans le cadre posé par le RGPD, à prendre des décisions sur le seul fondement d’algorithmes. Une « question prioritaire de constitutionnalité » pourrait de ce fait être encore soumise aux Sages.