Conclusions de l'avocat général Mme L. Medina, présentées le 15 octobre 2026 (C-568/25)

Édition provisoire

CONCLUSIONS DE L’AVOCATE GÉNÉRALE

M^ME LAILA MEDINA

présentées le 15 octobre 2026 (1)

Affaire C‑568/25

Verein für Konsumenteninformation

contre

Universal Versand GmbH

[demande de décision préjudicielle formée par l’Oberster Gerichtshof (Cour suprême, Autriche)]

« Renvoi préjudiciel – Protection des données à caractère personnel – Vente à distance aux consommateurs – Paiement échelonné ou sur facture (“paiement incertain”) – Appréciation de la probabilité du défaut du paiement – Profilage – Processus décisionnel automatisé – Intervention humaine »

 Introduction

1.        Les présentes conclusions concernent une demande de décision préjudicielle introduite par l’Oberster Gerichtshof (Cour suprême, Autriche), au sujet de l’interprétation de l’article 22 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »). Cette demande a été présentée dans le contexte d’une procédure opposant le Verein für Konsumenteninformation, une association autrichienne menant des actions représentatives (ci-après le « Verein »), à Universal Versand GmbH, une entreprise de vente par correspondance. Concrètement, le litige porte sur une pratique commerciale d’Universal Versand consistant à refuser à des clients la possibilité de choisir certains modes de paiement dits « incertains », à savoir les paiements « partiel » et « sur facture », sur le fondement d’une évaluation exclusivement automatisée de la probabilité d’un défaut de paiement de ces clients.

2.        À l’heure de la numérisation de l’économie et de la société, cette affaire renvoie plus largement aux problèmes que soulève l’essor de l’automatisation des décisions dans le marché unique. Les dangers d’une telle automatisation sont connus de longue date, Stanley Kubrick ayant par exemple choisi l’allégorie de la machine de l’apocalypse pour les dénoncer (Docteur Folamour, 1964). C’est une approche plus pragmatique qui a guidé la plume du législateur de l’Union européenne lorsqu’il s’est emparé de ce sujet fondamental. Ainsi, dans le domaine de la protection des données à caractère personnel, le RGPD vise à prémunir les personnes concernées contre les risques inhérents à un traitement exclusivement automatisé, lesquels sont notamment liés au défaut éventuel de fiabilité des données qui en font l’objet et à l’opacité de ce traitement. Ils peuvent notamment se matérialiser par des discriminations ou des décisions parfois difficiles à comprendre et à contester(2).

3.        En l’occurrence, dans le contexte des relations commerciales, qui est celui du litige au principal, la Cour devra préciser les conditions dans lesquelles s’applique le droit prévu à l’article 22, paragraphe 1, du RGPD de ne pas faire l’objet d’une décision individuelle fondée exclusivement sur un traitement automatisé, ainsi que l’étendue de cette protection au regard de l’une des dérogations à ce droit, prévue au paragraphe 2 de cet article, à savoir celle fondée sur la nécessité de la décision à la conclusion ou à l’exécution du contrat.

 Le cadre juridique

 Le droit de l’Union

4.        Le considérant 71 du RGPD énonce :

« La personne concernée devrait avoir le droit de ne pas faire l’objet d’une décision, qui peut comprendre une mesure, impliquant l’évaluation de certains aspects personnels la concernant, qui est prise sur le seul fondement d’un traitement automatisé et qui produit des effets juridiques la concernant ou qui, de façon similaire, l’affecte de manière significative, tels que le rejet automatique d’une demande de crédit en ligne [...] sans aucune intervention humaine. Ce type de traitement inclut le “profilage” qui consiste en toute forme de traitement automatisé de données à caractère personnel visant à évaluer les aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des aspects concernant [...], sa situation économique, [...] sa fiabilité ou son comportement, [...] dès lors qu’il produit des effets juridiques concernant la personne en question ou qu’il l’affecte de façon similaire de manière significative. Toutefois, la prise de décision fondée sur un tel traitement, y compris le profilage, devrait être permise lorsqu’elle est [...] nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et un responsable du traitement, ou si la personne concernée a donné son consentement explicite. En tout état de cause, un traitement de ce type devrait être assorti de garanties appropriées, qui devraient comprendre une information spécifique de la personne concernée ainsi que le droit d’obtenir une intervention humaine, d’exprimer son point de vue, d’obtenir une explication quant à la décision prise à l’issue de ce type d’évaluation et de contester la décision [...] »

5.        L’article 4 de ce règlement, intitulé « Définitions », prévoit :

« Aux fins du présent règlement, on entend par :

[...]

4)      “profilage”, toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant [...] la situation économique, [...] la fiabilité, le comportement [...] de cette personne physique ; 

[...] »

6.        L’article 5 dudit règlement, intitulé « Principes relatifs au traitement des données à caractère personnel », dispose :

« 1.      Les données à caractère personnel doivent être :

a)      traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;

[...]

c)      adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;

[...]

2.      Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité). »

7.        L’article 6 du même règlement, intitulé « Licéité du traitement », énonce, à son paragraphe 1 :

« 1.      Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

[...]

b)      le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;

[...] »

8.        L’article 22 du RGPD, intitulé « Décision individuelle automatisée, y compris le profilage », prévoit :

« 1.      La personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire.

2.      Le paragraphe 1 ne s’applique pas lorsque la décision :

a)      est nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et un responsable du traitement ;

[...]

c)      est fondée sur le consentement explicite de la personne concernée.

3.      Dans les cas visés au paragraphe 2, points a) et c), le responsable du traitement met en œuvre des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée, au moins du droit de la personne concernée d’obtenir une intervention humaine de la part du responsable du traitement, d’exprimer son point de vue et de contester la décision.

[...] »

 Le droit autrichien

9.        L’article 28a du Konsumentenschutzgesetz (loi sur la protection des consommateurs), du 30 mars 1979 (BGBl., 140/1979), dans sa version applicable (BGBl. I, 50/2017), prévoit :

« Quiconque, dans les relations commerciales avec les consommateurs, dans le contexte [...] des rapports de crédit à la consommation [...] fait une action contraire à une obligation ou à une interdiction légale [...] portant ainsi atteinte aux intérêts généraux des consommateurs, peut faire l’objet d’une action en cessation [...] »

 Les faits à l’origine du litige, la procédure au principal et les questions préjudicielles

10.      Universal Versand exerce son activité de vente par correspondance sur le marché autrichien, où elle reçoit plusieurs dizaines de milliers de commandes par mois, dont environ 90 % font l’objet d’un paiement « incertain ». Avant d’accorder la possibilité pour un client de recourir à un tel mode de paiement, Universal Versand procède à une vérification de sa solvabilité au moyen d’un processus automatisé. Ainsi, ce mode de paiement peut être refusé sur la base d’un processus de notation interne d’une probabilité de défaillance de paiement et, pour les nouveaux clients, une demande de vérification de leur solvabilité est transmise à une entreprise tierce. Lorsque cette entreprise ne connaît pas le client en question, le recours au paiement incertain est refusé. Lorsque ce client est connu de ladite entreprise, trois scénarios sont possibles, chacun étant désigné par une couleur différente. Si la couleur est rouge, le paiement « incertain » est refusé automatiquement et, si la couleur est jaune, un collaborateur d’Universal Versand effectue une vérification dans une base de données. En cas de refus automatique, le client peut demander de procéder à un contrôle manuel de la décision automatisée ou contester cette décision.

11.      Le litige au principal a pour objet une action collective introduite par le Verein, qui considère que la pratique décrite au point précédent des présentes conclusions viole systématiquement l’article 22 du RGPD. Au contraire, Universal Versand soutient que l’article 22 de ce règlement n’est pas applicable, car une décision de ne pas autoriser les clients concernés à utiliser un paiement incertain ne produit pas d’effets juridiques les concernant et ne les affecte pas non plus de manière significative de façon similaire. En tout état de cause, une telle décision est nécessaire à la conclusion ou à l’exécution du contrat, conformément à ce que prévoit l’article 22, paragraphe 2, sous a), dudit règlement.

12.      Le Landesgericht Salzburg (tribunal régional de Salzbourg, Autriche) a rejeté le recours du Verein. L’appel interjeté par celui-ci a aussi été rejeté par l’Oberlandesgericht Linz (tribunal régional supérieur de Linz, Autriche). Saisie d’un pourvoi en révision par le Verein, l’Oberster Gerichtshof (Cour suprême), qui est la juridiction de renvoi, s’interroge quant à l’interprétation de l’article 22 du même règlement.

13.      En premier lieu, la juridiction de renvoi pose la question de l’applicabilité de l’article 22, paragraphe 1, du RGPD et, plus particulièrement, de l’interprétation de la troisième condition prévue par cette disposition, qui tient à la production d’effets juridiques ou à l’affectation de manière significative de façon similaire de la personne concernée par une décision fondée sur un traitement automatisé. Elle observe que, dans des circonstances telles que celles de l’affaire au principal, il pourrait être considéré qu’une telle décision n’a pas d’incidence sur le statut juridique du client en cause et qu’elle ne détermine pas l’établissement d’une relation juridique avec celui-ci. Toutefois, il pourrait également être soutenu, d’une part, que la même décision détermine si, et comment, un contrat peut être conclu ou modifié et, d’autre part, que le choix de certains modes de paiement peut affecter les intérêts économiques ou personnels de ce client au sens de l’arrêt SCHUFA Holding e.a. (Scoring).

14.      En deuxième lieu, dans l’hypothèse où l’article 22, paragraphe 1, de ce règlement serait applicable, la juridiction de renvoi observe qu’il conviendrait alors de vérifier si l’exception prévue au paragraphe 2, sous a), de cet article est susceptible d’être mise en œuvre. Elle se demande si la détermination du caractère nécessaire de décisions telles que celles en cause au principal doit dépendre de l’existence éventuelle d’un lien objectif entre l’appréciation automatisée de la solvabilité du client concerné et l’objet concret du contrat de vente.

15.      En troisième lieu, la juridiction de renvoi considère que le libellé de l’article 22, paragraphe 2, sous a), dudit règlement n’est pas clair et elle se demande s’il doit être interprété en ce sens que l’exécution du contrat en cause dépend de l’adoption d’une « décision automatisée », ou alors simplement d’une décision, pour justifier que le paragraphe 1 de cet article ne s’applique pas.

16.      Dans ces conditions, l’Oberster Gerichtshof (Cour suprême) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

« 1)      L’article 22, paragraphe 1, du [RGPD] doit-il être interprété en ce sens que produit des “effets juridiques” concernant le client ou “affect[e] [le client] de manière significative de façon similaire” la décision d’une société de vente par correspondance de refuser le mode de paiement “paiement partiel” ou “paiement sur facture” souhaité par le client lors de sa commande, mais de déclarer au client qu’elle est disposée à entrer dans une relation commerciale avec le mode de paiement “carte de crédit” ou “PayPal”, laquelle décision est exclusivement fondée sur une évaluation automatisée de la probabilité d’un défaut de paiement du client qui découle soit du fait qu’une société fournissant des informations commerciales a répondu à une demande d’informations qui lui a été envoyée automatiquement que le client lui est inconnu, soit du fait que – dans le cas d’un client connu – une notation interne de la solvabilité conclut que le client ne dispose pas d’une solvabilité suffisante, dans la mesure où cette décision n’entraîne pas le rejet de la commande en tant que telle, mais limite uniquement les options de paiement proposées par la société de vente par correspondance au client ?

En cas de réponse affirmative à la [première question] :

2)      a)      L’article 22, paragraphe 2, sous a), du RGPD doit-il être interprété en ce sens que, pour qu’une décision d’une société de vente par correspondance fondée sur une évaluation automatisée de la probabilité d’un défaut de paiement du client potentiel, comme décrite à la [première question], soit “nécessaire” à la conclusion d’un contrat entre le client et la société de vente par correspondance, il faut qu’il existe un lien objectif direct entre l’objet du contrat à conclure avec le client et l’évaluation de la probabilité d’un défaut de paiement de ce client ?

b)      Le caractère nécessaire visé à l’article 22, paragraphe 2, sous a), du RGPD, suppose-t-il que les catégories de données collectées, que ce soit en elles-mêmes ou en combinaison les unes avec les autres, soient objectivement appropriées pour évaluer la probabilité d’un défaut de paiement ?

Faut-il que la société de vente par correspondance ou le client indique et prouve quelles catégories de données sont concrètement collectées aux fins de l’évaluation de la probabilité d’un défaut de paiement et que ces catégories de données, que ce soit en elles-mêmes ou en combinaison les unes avec les autres, sont objectivement appropriées pour évaluer la probabilité d’un défaut de paiement ?

En cas de réponse affirmative à la [première question] :

3)      L’article 22, paragraphe 2, sous a), du RGPD doit-il être interprété en ce sens que c’est précisément une prise de décision automatisée de la part du responsable du traitement qui est nécessaire à la conclusion ou à l’exécution du contrat ?

En cas de réponse affirmative à [cette question] :

a)      L’article 22, paragraphe 2, sous a), du RGPD doit-il être interprété en ce sens que pour répondre à la question de savoir si une décision d’une société de vente par correspondance, comme décrite à la [première question], est nécessaire à la conclusion du contrat, il faut déterminer si la prise de décision automatisée relative à l’acceptation ou au refus du mode de paiement souhaité peut également être le fait de personnes moyennant un effort raisonnable ? Quelle est l’importance, à cet égard, du nombre de commandes reçues par la société de vente par correspondance et du fait que, dans le cadre de la procédure de commande en ligne, les clients s’attendent généralement à être immédiatement informés de l’acceptation ou du refus, par la société de vente par correspondance, du mode de paiement qu’ils souhaitent ? »

 Appréciation

17.      L’article 22 du RGPD prévoit une interdiction de principe, consacrée au paragraphe 1 de cet article, selon laquelle une personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé et qui produise des effets juridiques la concernant ou l’affectant de manière significative de façon similaire. Cette interdiction est assortie d’exceptions, prévues au paragraphe 2 dudit article, lesquelles s’appliquent dans le respect de limites prévues aux paragraphes 3 et 4 du même article. Si les principaux objectifs poursuivis à l’article 22 de ce règlement sont aisément compréhensibles, ses modalités de mise en œuvre concrète sont, en revanche, moins évidentes compte tenu de l’indétermination de certaines des notions qui y sont évoquées (3).

18.      Les interrogations de la juridiction de renvoi portent à la fois sur les conditions d’application de l’interdiction prévue à l’article 22, paragraphe 1, dudit règlement (première question), et sur l’une des dérogations à cette interdiction, à savoir celle qui tient au caractère nécessaire à la conclusion ou à l’exécution d’un contrat d’une décision, telle que prévue à l’article 22, paragraphe 2, sous a), du même règlement (deuxième et troisième questions).

 Sur l’application de l’interdiction prévue à l’article 22, paragraphe 1, du RGPD (première question)

19.       Par sa première question, la juridiction de renvoi demande, en substance, si l’article 22, paragraphe 1, du RGPD doit être interprété en ce sens que, dans le contexte d’une vente par correspondance, la décision d’exclure la possibilité pour le client de choisir certains modes de paiement, prise sur le fondement exclusif d’une évaluation automatisée de la probabilité d’un défaut de paiement de ce client, produit des effets juridiques sur ledit client ou l’affecte de manière significative de façon similaire.

20.      Ainsi que je l’ai déjà indiqué au point 17 des présentes conclusions, il ressort des termes de l’article 22, paragraphe 1, du RGPD que la personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire. Trois conditions cumulatives doivent donc être remplies pour justifier la mise en œuvre de l’interdiction prévue par cette disposition. Premièrement, la personne concernée doit faire l’objet d’une « décision ». Deuxièmement, cette décision doit être « fondée exclusivement sur un traitement automatisé, y compris le profilage », et, troisièmement, elle doit produire « des effets juridiques [concernant l’intéressé] » ou l’affecter « de manière significative de façon similaire ».

21.      Les interrogations de la juridiction de renvoi portent seulement sur la troisième de ces conditions, et il convient donc de déterminer les circonstances dans lesquelles une décision, telle que celle en cause au principal, est susceptible d’exercer des effets juridiques sur la personne concernée ou de l’affecter de manière significative de manière similaire. En l’absence de renvoi au droit national des États membres, j’estime que cette notion est une notion autonome du droit de l’Union qui doit être interprétée de manière uniforme sur le territoire de l’Union, conformément au sens habituel des termes en question dans le langage courant et en tenant compte du contexte dans lequel elle s’inscrit ainsi que des objectifs poursuivis par ladite disposition (4).

22.      En ce qui concerne, premièrement, le sens habituel des termes employés, j’observe que la troisième condition prévue à l’article 22, paragraphe 1, du RGPD évoque deux situations autonomes, distinguées par la conjonction « ou ». Sont ainsi visées les décisions susceptibles de produire sur une personne des « effets juridiques » ou, alternativement, d’affecter cette dernière « de manière significative de façon similaire ». Il suffit que l’une de ces deux situations soit caractérisée pour que l’interdiction prévue soit applicable.

23.      S’agissant de la première situation, à savoir celle dans laquelle une décision produit des « effets juridiques », j’estime que c’est l’aptitude de cette décision à modifier les droits ou obligations d’une personne, dans leur substance ou leur exercice, qui est visée.

24.      S’agissant de la seconde situation, c’est d’abord l’affectation de la personne concernée qui importe, ce qui implique une incidence concrète et pas seulement abstraite de la décision en cause sur la situation de cette personne. Ensuite, le caractère « significatif » de ces effets, au-delà de la sphère juridique, doit être pris en compte. Si le sens de ce terme est ambigu en langue française, il est en revanche clair dans les autres versions linguistiques du RGPD, par exemple en langue anglaise (« significantly »), en langue espagnole (« significativamente »), ou en langue lettone (« ievērojami »), dans lesquelles il renvoie à l’importance de la notion qu’il qualifie (5). Les effets de la décision en cause doivent donc atteindre un certain seuil pour déclencher la protection offerte à l’article 22, paragraphe 1, de ce règlement, ce qui exclut une incidence seulement accessoire ou marginale. Enfin, outre, cet aspect quantitatif, la formulation retenue précise que la personne concernée doit être affectée « de manière similaire », introduisant ainsi un élément de comparabilité avec le critère des « effets juridiques » quant aux conséquences d’une telle décision sur la situation de la personne concernée. L’incidence de cette décision doit ainsi être au moins analogue à celle qui résulterait de la modification ou de la suppression d’un droit ou d’une obligation (6).

25.      S’agissant, deuxièmement, du contexte, le considérant 71 dudit règlement donne des exemples concrets de situations dans lesquelles il convient de considérer qu’une décision produit des effets juridiques sur une personne ou qu’elle l’affecte de manière significative, sans pour autant faire une distinction entre ces deux formes d’effets. Les deux situations mentionnées sont le rejet automatique d’une demande de crédit en ligne et les pratiques de recrutement en ligne sans aucune intervention humaine.

26.      S’agissant enfin, troisièmement, des finalités poursuivies, l’objectif du même règlement consiste, notamment, à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, en particulier de leur droit à la protection des données personnelles, consacré à l’article 16 TFUE et garanti en tant que droit fondamental à l’article 8 de la charte des droits fondamentaux de l’Union européenne (7). Ces éléments sont mentionnés au considérant 1 du RGPD.

27.      C’est au regard de l’ensemble de ce qui précède qu’il convient de déterminer si des circonstances telles que celles décrites par la juridiction de renvoi, à savoir le refus opposé à un client de pouvoir recourir à certains moyens de paiement à la suite d’une vérification automatisée de sa solvabilité, sont susceptibles soit de modifier directement les droits ou les obligations de ce client, soit d’avoir une incidence suffisamment concrète et importante sur sa situation pour que cette incidence s’apparente à une telle modification. À cet égard, la Cour a déjà indiqué dans l’arrêt SCHUFA Holding e.a. (Scoring)qu’un individu est affecté, à tout le moins, de manière significative semblable à des effets juridiques, lorsque l’établissement automatisé d’une valeur de probabilité fondée sur l’analyse de ses données à caractère personnelles conduit, de manière presque systématique, au refus par une banque de lui accorder un prêt (8).

28.      Dans ce contexte, il convient de se demander si, en l’occurrence, le refus d’octroyer certains moyens de paiement à un consommateur produit sur celui-ci des effets analogues ou comparables à ceux que produit le refus d’accorder un prêt. Or, s’il revient à la juridiction de renvoi d’apprécier les effets concrets d’un tel refus dans le contexte juridique et factuel du litige pendant devant elle, il incombe à la Cour de lui fournir toutes les indications nécessaires en vue de la guider dans cette appréciation (9).

29.      Par conséquent se pose notamment la question de savoir si les circonstances juridiques de la présente affaire s’apparentent à celles ayant donné lieu à l’arrêt SCHUFA Holding e.a. (Scoring), ce qui justifierait l’application des enseignements qui peuvent en être tirés à des contrats tels que ceux qui font l’objet de la procédure au principal. À cet égard, au sein de l’Union, la directive 2008/48/CE (10) porte justement sur les contrats de crédit aux consommateurs. Toutefois, en vertu de son article 2, paragraphe 2, sous f) (11), et au regard des éléments du dossier dont dispose la Cour, cette directive pourrait exclure des contrats tels que ceux en cause dans l’affaire au principal de son champ d’application, empêchant ainsi de construire une analogie directe entre les contrats en cause et des contrats de crédit aux consommateurs assimilables à ceux dont il était question dans l’arrêt SCHUFA Holding e.a. (Scoring).

30.      Pourtant, il convient encore de souligner que la directive (UE) 2023/2225 (12), qui n’est pas applicable ratione temporis au litige au principal (13), précise à son considérant 15 que, sous l’empire de la directive 2008/48, un certain nombre d’États membres ont fait le choix d’appliquer cette dernière à des domaines qui ne relevaient pas de son champ d’application pour relever le niveau de protection des consommateurs. Par conséquent, il était loisible à la République d’Autriche de considérer, au cours de la période pertinente, que des contrats tels que ceux qui font l’objet de la procédure au principal relevaient du champ d’application de la directive 2008/48 et s’apparentaient à des contrats de crédit tels que ceux en cause dans l’arrêt SCHUFA Holding e.a. (Scoring). En tout état de cause, rien n’empêchait la République d’Autriche de définir comme des contrats de crédit les contrats comprenant des paiements incertains. Les enseignements de l’arrêt SCHUFA Holding e.a. (Scoring)étant alors applicables mutatis mutandis.

31.      Quand bien même tel ne serait pas le cas, l’impossibilité d’avoir recours à certains moyens de paiement, du fait d’une décision fondée sur une appréciation entièrement automatisée de la solvabilité de clients potentiels, est susceptible de les priver de la possibilité de conclure un contrat de vente s’ils ne sont pas en mesure d’acquitter le prix de vente dès la conclusion du contrat en utilisant les moyens de paiement qui leur seraient, de fait, imposés. Dans un tel cas de figure, ces clients se trouveraient alors dans une situation analogue à ceux de l’affaire ayant donné lieu à l’arrêt SCHUFA Holding e.a. (Scoring), puisqu’elle s’apparente au refus d’un e demande de prêt et qu’elle a pour conséquence potentielle l’impossibilité de conclure un contrat.

32.      Au regard de l’ensemble de ce qui précède, je propose de répondre à la première question préjudicielle que l’article 22, paragraphe 1, du RGPD doit être interprété en ce sens que, dans le contexte d’une vente par correspondance, la décision d’exclure la possibilité pour un client de choisir certains modes de paiement, prise sur le fondement exclusif d’une évaluation automatisée de la probabilité d’un défaut de paiement de ce client, produit des effets juridiques sur ledit client ou, à tout le moins, l’affecte de manière significative de façon similaire si elle est susceptible d’empêcher la conclusion du contrat de vente en cause.

 Sur l’application de l’exception prévue à l’article 22, paragraphe 2, sous a), du RGPD (deuxième et troisième questions)

33.      Les deuxième et troisième questions portent sur les conditions dans lesquelles il est possible d’adopter une décision individuelle fondée exclusivement sur un traitement automatisé, en vertu de la dérogation prévue à l’article 22, paragraphe 2, sous a), du RGPD, qui tient au caractère nécessaire à la conclusion ou à l’exécution d’un contrat. Plus spécifiquement, la deuxième question vise l’appréciation du caractère « nécessaire » d’une telle décision, et la troisième question vise à établir si ce caractère « nécessaire » doit être déterminé par rapport à l’adoption d’une décision en tant que telle, ou bien exclusivement d’une décision fondée sur un traitement automatisé de données à caractère personnel.

34.      À titre liminaire, il est utile de rappeler, en premier lieu, le contexte dans lequel s’inscrivent ces questions. L’interdiction prévue à l’article 22, paragraphe 1, de ce règlement concourt à la réalisation de l’objectif général de protection des données personnelles des particuliers poursuivi par ledit règlement, que j’ai déjà rappelé au point 26 des présentes conclusions. La possibilité qui découle de l’article 22, paragraphe 2, du même règlement d’adopter éventuellement une telle décision constitue, en substance, une dérogation à cette interdiction et, comme toute dérogation, elle doit donc être d’interprétation stricte (14).

35.      En second lieu, Universal Versand soutient que, en l’occurrence, le recours aux décisions automatisées bénéficie, au premier chef, aux consommateurs qui peuvent ainsi recevoir une réponse quasi immédiate quant aux modes de paiement dont ils peuvent disposer, lesquels peuvent éventuellement comprendre des moyens de paiement incertains. Toutefois, si je perçois l’avantage procuré par une décision positive, celui-ci est moins évident lorsque la décision est négative. La présente affaire pose ainsi la question de la conciliation entre les intérêts commerciaux des entreprises, et même de certains consommateurs, avec la protection des données à caractère personnel.

 Sur la deuxième question

36.      Par sa deuxième question, la juridiction de renvoi demande, en substance, si l’article 22, paragraphe 2, sous a), du RGPD doit être interprété en ce sens que, lorsqu’une société de vente par correspondance conclut un contrat avec un client, d’une part, il convient d’établir l’existence d’un lien objectif entre l’objet de ce contrat et l’évaluation automatisée de la probabilité d’un défaut de paiement du client pour pouvoir conclure au caractère nécessaire à l’exécution dudit contrat d’une telle évaluation automatisée et, d’autre part, il convient que les données collectées soient objectivement appropriées pour réaliser cette évaluation ainsi que de préciser quelles étaient ces données et pourquoi elles ont été collectées. À cet égard, la juridiction de renvoi se demande si la charge de la preuve pèse sur la société de vente par correspondance ou sur le client.

–       Sur le caractère « nécessaire à l’exécution d’un contrat » d’un traitement automatisé de données

37.      L’article 22, paragraphe 2, sous a), du RGPD consacre l’une des dérogations à l’application du paragraphe 1 de cet article, dont peut découler la possibilité d’adopter une décision individuelle fondée exclusivement sur un traitement automatisé de données à caractère personnel. C’est la nécessité de l’adoption de la décision pour la conclusion ou l’exécution d’un contrat qui justifie cette exclusion, et la juridiction de renvoi se demande si l’appréciation d’une telle nécessité dépend de l’existence d’un lien objectif entre cette décision et l’objet du contrat en cause.

38.      La notion de « caractère nécessaire à la conclusion ou à l’exécution d’un contrat » d’une décision automatisée ne fait l’objet d’aucun renvoi au droit national des États membres pour la définir dans ce règlement. Par conséquent, en application de la jurisprudence citée au point 21 des présentes conclusions, il convient, d’une part, de considérer que cette notion est une notion autonome du droit de l’Union et, d’autre part, d’en déterminer la signification en appliquant la même méthode.

39.      Premièrement, en ce qui concerne le sens usuel de ladite notion, la Cour a déjà relevé que l’adjectif « nécessaire » renvoie à ce qui est exigé ou indispensable pour atteindre un but donné (15).

40.      Deuxièmement, pour ce qui relève du contexte, sous l’intitulé « Principes », le chapitre II du RGPD prévoit des obligations auxquelles doivent se conformer tous les destinataires de ce règlement. Ce chapitre comprend l’article 6, intitulé « Licéité du traitement », dont le paragraphe 1, sous b), dispose que le traitement des données à caractère personnel est licite s’il est « nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ». La Cour a considéré que, pour que cette condition soit satisfaite, le traitement de données en cause doit être objectivement indispensable pour réaliser une finalité faisant partie intégrante de la prestation contractuelle destinée à la personne concernée, ce qui implique que le responsable du traitement soit en mesure de démontrer en quoi l’objet principal du contrat ne pourrait être atteint en l’absence du traitement en cause. Elle a précisé que le traitement de données à caractère personnel doit être essentiel afin de permettre l’exécution correcte du contrat et, partant, qu’il n’existe pas d’autres solutions praticables moins intrusives (16).

41.      Ainsi, le test juridique applicable pour déterminer si un traitement de données est nécessaire à la conclusion ou à l’exécution d’un contrat consiste à vérifier si ce traitement de données est indispensable pour réaliser l’objet principal de la prestation contractuelle, en ce sens que les obligations prévues ne sauraient être exécutées en son absence. Cela implique de s’assurer qu’il n’existe pas d’autres solutions praticables moins intrusives pour la protection des données qui soient susceptibles de permettre cette réalisation.

42.      J’estime que ces considérations sont transposables dans le contexte de l’interprétation de l’article 22, paragraphe 2, sous a), du RGPD, car son libellé quasiment identique avec celui de l’article 6, paragraphe 1, sous b), de ce règlement, justifie que la notion de « nécessité à l’exécution du contrat », qui est mentionnée dans chacun d’entre eux, soit interprétée de manière analogue. En effet, en l’absence de toute indication en ce sens dans ledit règlement, il serait contraire à l’économie de ce dernier d’interpréter différemment des notions qui y sont énoncées selon un libellé identique (17). La logique du même règlement renforce d’ailleurs cette interprétation, car le critère de « nécessité à l’exécution d’un contrat » ne saurait être apprécié selon un seuil d’exigence différent selon qu’il vise à justifier soit la licéité d’un traitement de données à caractère personnel [article 6, paragraphe 1, sous b), du RGPD], soit celle de l’adoption d’une décision individuelle automatisée [article 22, paragraphe 2, sous a), de ce règlement], alors même que le problème posé par une telle adoption au regard dudit règlement réside justement dans le fait qu’elle est fondée exclusivement sur un traitement automatisé de données à caractère personnel (18).

43.      Troisièmement, les finalités poursuivies par le même règlement, déjà rappelées au point 26 des présentes conclusions, confortent ladite interprétation qui permet d’encadrer strictement une possibilité de déroger à l’interdiction d’adopter une décision individuelle automatisée prévue à l’article 22, paragraphe 1, du RGPD.

44.      Au regard des considérations qui figurent aux points 38 à 43 des présentes conclusions, l’adoption d’une décision individuelle fondée exclusivement sur un traitement automatisé de données ne peut être justifiée au titre de l’article 22, paragraphe 2, sous a), du RGPD que si elle satisfait à un test juridique analogue à celui décrit au point 41 de ces conclusions. Or, la première étape de ce test consiste à déterminer si l’adoption d’une telle décision est objectivement indispensable pour atteindre l’objet principal du contrat en cause. Ainsi, cette étape consiste précisément en la recherche de l’existence d’un lien de nécessité entre cette décision et l’atteinte de l’objet de ce contrat. Par conséquent, la démonstration de l’existence d’un lien objectif direct entre l’objet d’un contrat à conclure et l’adoption d’une décision individuelle automatisée est un préalable indispensable pour pouvoir conclure à la nécessité de cette décision à la conclusion ou à l’exécution de ce contrat. Cette condition nécessaire n’est, toutefois, pas suffisante, puisqu’il convient également de satisfaire à la seconde étape du test pertinent, consistant à établir qu’une autre solution moins intrusive n’est pas possible pour atteindre le même résultat.

45.      En l’occurrence, il ressort des explications données par la juridiction de renvoi que l’objet des contrats en cause au principal est le transfert de propriété, par une entreprise de vente par correspondance, de biens de consommation à des clients en contrepartie du paiement du prix des biens en question. La finalité du recours à une décision fondée exclusivement sur un traitement automatisé de données à caractère personnel est de s’assurer de la solvabilité de ces clients, afin de leur proposer un moyen de paiement adapté.

46.      Au regard de l’ensemble de ce qui précède, il pourrait être considéré que l’adoption d’une décision fondée exclusivement sur un traitement automatisé de données à caractère personnel vise à atteindre l’objet de contrats tels que ceux en cause dans l’affaire au principal. Il conviendra toutefois, pour le vérifier, d’établir que la mise à disposition d’un moyen de paiement approprié a pour finalité de garantir la bonne exécution de cette prestation contractuelle (19), et que l’appréciation de ce caractère approprié dépend bien de l’évaluation automatisée de la solvabilité du client concerné, laquelle ne pourrait pas être réalisée au moyen d’une solution moins intrusive. Il en résulterait en effet que la conclusion ou l’exécution d’un tel contrat, et donc l’atteinte de son objet, dépendrait concrètement de cette évaluation. Toutefois, c’est à la juridiction de renvoi qu’il appartient de vérifier, d’une part, que tel est bien le cas et, d’autre part, qu’un tel traitement automatisé est un moyen adapté pour atteindre cet objectif. Cette juridiction devra notamment fonder son appréciation sur les éléments qui font l’objet de la seconde partie de la deuxième question préjudicielle.

–       Sur la nature des données collectées et la répartition de la charge de la preuve

47.      La juridiction de renvoi cherche, en substance, à savoir si, lors de l’adoption d’une décision fondée exclusivement sur un traitement automatisé de données à caractère personnel au titre de l’article 22, paragraphe 2, sous a), du RGPD, ce traitement doit être limité à des données objectivement appropriées pour permettre d’atteindre l’objet du contrat, et si la charge de la preuve de ce caractère approprié pèse sur le responsable du traitement ou sur la personne concernée.

48.      En premier lieu, pour ce qui est du caractère approprié des données sélectionnées pour faire l’objet d’un traitement automatisé en vue de la conclusion ou de l’exécution d’un contrat, la question déférée par la juridiction de renvoi me semble pouvoir être interprétée de deux manières au regard des considérations qui la sous-tendent. D’une part, cette juridiction semble s’interroger quant à l’étendue quantitative des données susceptibles de faire l’objet d’un tel traitement. D’autre part, les interrogations de ladite juridiction pourraient aussi être comprises, plus substantiellement, comme portant sur l’aptitude de ces données à réaliser la finalité poursuivie par ce traitement.

49.      Premièrement, s’agissant de l’étendue quantitative des données susceptibles d’être prises en compte dans le cadre de l’adoption de décisions automatisées telles que celles qui font l’objet de la procédure au principal, il convient de souligner que ces décisions doivent respecter les principes qui régissent le traitement des données à caractère personnel, prévus à l’article 5 du RGPD, lesquels sont applicables cumulativement. Parmi ces principes figure le principe dit de la « minimisation des données », dont il découle que les données à caractère personnel doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » (20). Ainsi, « le responsable du traitement ne peut procéder, de manière généralisée et indifférenciée, à la collecte de données à caractère personnel et [il] doit s’abstenir de collecter des données qui ne sont pas strictement nécessaires au regard des finalités du traitement ». En outre, il ressort de l’article 25 de ce règlement que le responsable du traitement doit mettre en œuvre les mesures appropriées pour garantir que, par défaut, seules les données qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées (21).

50.      Il peut donc être déduit de la jurisprudence de la Cour que seules les données qui sont objectivement appropriées et strictement nécessaires à la réalisation de la finalité poursuivie par un traitement de données à caractère personnel doivent être collectées et utilisées par le responsable du traitement. Par conséquent, dans l’affaire au principal, il appartiendra à la juridiction de renvoi de vérifier que les données qui sont collectées et traitées sont toutes indispensables à l’appréciation de la solvabilité des clients concernés.

51.      Deuxièmement, s’agissant de l’aptitude des données ayant fait l’objet d’un traitement automatisé à réaliser la finalité poursuivie par ce traitement, la question peut se poser de savoir si l’omission d’une donnée ou le recours à une donnée plutôt qu’à une autre sont susceptibles d’exercer une influence décisive et, le cas échéant, potentiellement problématique, sur une évaluation fondée sur ledit traitement. La réponse à cette interrogation découle également de l’interprétation du principe de la « minimisation des données », en ce que celui-ci présente une dimension qualitative qui tient au caractère adéquat et pertinent des données traitées, c’est-à-dire, justement, à leur aptitude à réaliser les finalités ayant justifié le même traitement.

52.      Au-delà de ces considérations générales, j’observe toutefois que le RGPD ne donne pas d’indication quant aux critères permettant d’apprécier le caractère « adéquat » et « pertinent » d’une donnée. À cet égard, la Cour a seulement précisé que, lorsque des données remplissent ces deux exigences, elles sont de nature à atteindre les finalités du traitement concerné et, a fortiori, à réaliser l’objectif de ce traitement (22). Cela s’explique, à mon sens, logiquement par la très grande variété des situations couvertes et par la marge de manœuvre nécessaire dont les États membres doivent jouir pour appliquer ces principes. En outre, si ce règlement a vocation à régir les questions liées directement au traitement des données, le contrôle des exigences d’adéquation et de pertinence par rapport à la finalité du traitement dépend de l’examen d’autres réglementations sectorielles qui sont susceptibles d’expliquer ou de préciser le rapport entre les données traitées et la finalité poursuivie.

53.      Ainsi, dans un cas de figure tel que celui de l’affaire au principal, la question de l’appréciation de la solvabilité d’un client et des éléments devant – ou pas – être pris en compte pour l’établir pourrait, par exemple, relever soit de la réglementation de l’Union sur les contrats de crédit aux consommateurs, soit du droit national, tandis que l’appréciation générale portant sur la légitimité de l’invocation de cette finalité ferait l’objet d’un contrôle de proportionnalité au titre dudit règlement en prenant en compte les réglementations spécifiques pertinentes (23). En l’occurrence, c’est à la juridiction de renvoi qu’il revient, au regard du cadre factuel du litige au principal, de déterminer si les données qui ont fait l’objet d’une évaluation automatisée étaient bien appropriées et aptes à établir la solvabilité des clients concernés (24) en examinant pour ce faire la réglementation nationale applicable aux contrats en cause ainsi qu’à la protection des consommateurs.

54.      En second lieu, pour ce qui est de la charge de la preuve, il ressort du libellé très clair de l’article 5, paragraphe 2, du même règlement que le responsable du traitement est responsable du respect des principes prévus sous la forme d’obligations au paragraphe 1 de cet article, et qu’il doit être en mesure de démontrer que ces principes sont respectés. En outre, dans le contexte de l’application de l’article 6, paragraphe 1, sous b), du RGPD, dont j’ai relevé la similarité avec l’article 22, paragraphe 2, sous a), de ce règlement au point 42 des présentes conclusions, la Cour a déjà jugé que c’est le responsable du traitement qui doit être en mesure de démontrer en quoi l’objet principal du contrat en cause ne pourrait être atteint en l’absence d’un traitement de données à caractère personnel litigieux (25).

55.      Il revient donc au responsable du traitement d’indiquer quelles données ont été collectées et traitées, ainsi que de prouver leur nécessité à la réalisation de la finalité poursuivie par le traitement litigieux.

56.      Eu égard à ces considérations, je propose à la Cour de répondre à la deuxième question préjudicielle comme suit : l’article 22, paragraphe 2, sous a), du RGPD doit être interprété en ce sens que, lorsqu’une société de vente par correspondance conclut un contrat avec un client, d’une part, il convient d’établir l’existence d’un lien objectif entre l’objet de ce contrat et l’évaluation automatisée de la probabilité d’un défaut de paiement du client pour pouvoir conclure au caractère nécessaire à l’exécution dudit contrat d’une telle évaluation automatisée et, d’autre part, il convient que les données collectées à cet effet soient objectivement appropriées pour réaliser cette évaluation ainsi que de préciser quelles étaient ces données et pourquoi elles ont été collectées. À cet égard, la charge de la preuve pèse sur la société de vente par correspondance.

 Sur la troisième question

57.      Par sa troisième question, la juridiction de renvoi demande, en substance, d’une part, si, pour que la dérogation à l’interdiction d’adopter une décision fondée exclusivement sur un traitement automatisé prévue à l’article 22, paragraphe 2, sous a), du RGPD soit applicable, c’est une « décision » ou bien une « décision automatisée » qui est nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et un responsable du traitement et, d’autre part, si des éléments tels que des gains de temps pour les clients et des économies faites par l’entreprise qui a recours à un tel traitement automatisé sont pertinents pour apprécier la nécessité de ce traitement, de même que la possibilité de lui substituer un traitement réalisé par une personne au moyen d’un effort raisonnable.

58.      En premier lieu, les interrogations de la juridiction de renvoi sont principalement liées au libellé de cette disposition, qui mentionne seulement une « décision » nécessaire à la conclusion ou à l’exécution d’un contrat. Pour des raisons analogues à celles déjà expliquées aux points 21 et 38 des présentes conclusions, il convient d’analyser le sens habituel de cette notion, en tenant compte du contexte dans lequel elle s’inscrit ainsi que des objectifs poursuivis par ladite disposition.

59.      Premièrement, le libellé de l’article 22, paragraphe 2, sous a), du RGPD, renvoie seulement au terme « décision », sans préciser que celle-ci doit être automatisée, ce qui pourrait laisser entendre que tel n’est pas le cas. Toutefois, ce terme est précédé de l’article défini « la » et non de l’article indéfini « une », ce qui implique que la décision dont il est question dans cette disposition est déjà identifiée. Par conséquent, le groupe nominal « la décision » ne peut ici renvoyer qu’à la « décision fondée exclusivement sur un traitement automatisé, y compris le profilage » dont il est question au paragraphe 1 de cet article. Ainsi, il ressort du libellé de l’article 22, paragraphe 2, sous a), de ce règlement que cette disposition vise les décisions automatisées (26).

60.      Deuxièmement, le contexte de ladite disposition conforte cette interprétation. En effet, selon le libellé du considérant 71 dudit règlement qui, en substance, permet d’éclairer l’interprétation de l’article 22 du même règlement (27), c’est bien « la prise de décision fondée sur un tel traitement, y compris le profilage » qui « devrait être permise lorsqu’elle est [...] nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et un responsable du traitement » (28).

61.      Troisièmement, pour ce qui est des objectifs poursuivis par le RGPD et qui ont déjà été rappelés aux points 26 et 43 des présentes conclusions, je relève que l’interprétation que je propose de la notion de « décision » dans le contexte de l’interprétation de l’article 22, paragraphe 2, sous a), de ce règlement conduit à restreindre la portée de la dérogation à l’interdiction d’adopter des décisions individuelles automatisées qui y est consacrée. Dans le cas contraire, il suffirait que l’adoption d’une décision (automatisée ou pas) soit nécessaire à la conclusion ou à l’exécution d’un contrat pour ouvrir la possibilité de fonder celle-ci sur un traitement automatisé de données. Les considérations qui précèdent sont, à mon avis, d’autant plus pertinentes dans le contexte rappelé au point 34 des présentes conclusions et dont il découle que la dérogation prévue à l’article 22, paragraphe 2, sous a), dudit règlement ne saurait être interprétée que strictement.

62.      Par ailleurs, la Commission européenne indique avoir soumis au Parlement européen et au Conseil de l’Union européenne une proposition de règlement visant notamment à modifier le RGPD (29), laquelle permettrait de dissiper tout doute quant à l’interprétation de la notion de « décision » au sens de l’article  22, paragraphe 2, sous a), de ce règlement, car il en ressortirait explicitement qu’il ne serait pas exigé qu’une décision ne puisse être prise que sur la base d’un traitement exclusivement automatisé pour pouvoir invoquer la dérogation qu’il prévoit. Toutefois, cette proposition n’étant pas entrée en vigueur et n’ayant même pas été approuvée en l’état par le Parlement et le Conseil, elle ne saurait être d’une quelconque pertinence quant à l’interprétation de la notion en cause.

63.      En second lieu, s’agissant des indications qui doivent être prises en compte pour apprécier la nécessité d’avoir recours à une décision automatisée et notamment, en l’occurrence, du nombre de commandes que des entreprises telles qu’Universal Versand doivent gérer et des attentes des clients en matière de célérité du service fourni, c’est à l’aune du test juridique décrit au point 41 ainsi que des considérations rappelées aux points 49 à 55 des présentes conclusions que la juridiction de renvoi devra vérifier si de tels éléments factuels sont de nature à établir que le recours à une décision automatisée est nécessaire, en ce sens, d’une part, que l’appréciation automatisée de la solvabilité des clients est indispensable pour garantir l’exécution correcte des contrats en cause et, d’autre part, qu’elle n’est pas substituable au moyen d’une intervention humaine qui serait une alternative moins intrusive au sens de la seconde étape de ce test et conformément, notamment, au considérant 39 dudit règlement.

64.      À mon sens, il est justement indiqué dans les lignes directrices relatives à la prise de décision individuelle automatisée et au profilage aux fins du règlement (UE) 2016/679, adoptées le 3 octobre 2017, qu’une juridiction nationale pourrait, par exemple, parvenir à une telle conclusion lorsqu’elle constate qu’une intervention humaine ne serait pas réaliste sur le plan pratique ou serait impossible au regard de la quantité de données traitées. Cela impliquerait que le recours à une décision automatisée est indispensable, en ce que la seconde étape du test juridique décrit au point 41 des présentes conclusions est satisfaite. Cependant, c’est à l’entreprise concernée qu’il revient de le démontrer, et le fait qu’un tel traitement soit seulement utile à l’exécution du contrat en cause n’est pas suffisant à cet égard (30).

65.      Concrètement, s’agissant, premièrement, du volume de commandes traitées et de la célérité de la réponse apportée au client quant au mode de paiement qu’il pourra utiliser, il conviendrait de démontrer, en se fondant sur des éléments objectifs (31), d’une part, pourquoi la quantité des données traitées induite par le volume de ces commandes induit qu’elle ne peut pas l’être autrement qu’automatiquement en se tournant vers une alternative moins intrusive et, d’autre part, que l’obtention d’une réponse immédiate quant au moyen de paiement est un facteur qui conditionne le choix du client de conclure le contrat en cause avec l’entreprise concernée.

66.      Deuxièmement, j’observe également que, dans l’hypothèse où la juridiction de renvoi considérerait que les modes de paiement en cause au principal relèvent du champ d’application de la directive 2008/48 en vertu de la réglementation autrichienne, la solvabilité des clients devrait alors être évaluée avant de conclure les contrats litigieux, en application de l’article 8 de cette directive. De la même manière qu’en ce qui concerne les problématiques évoquées au point précédent des présentes conclusions, il reviendrait alors à l’entreprise en cause de démontrer, en se fondant sur des éléments de preuve objectifs, en quoi le traitement automatisé ne peut pas être remplacé par une autre solution praticable moins intrusive pour s’acquitter de cette obligation.

67.      Au regard de l’ensemble de ce qui précède, j’estime qu’il convient de répondre à la troisième question préjudicielle que l’article 22, paragraphe 2, sous a), du RGPD doit être interprété en ce sens, d’une part, que pour que la dérogation à l’interdiction d’adopter une décision fondée exclusivement sur un traitement automatisé qu’il prévoit soit applicable, il convient qu’une décision automatisée soit nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et un responsable du traitement, en ce sens, notamment qu’il ne puisse pas être recouru à une alternative moins intrusive et, d’autre part, que des éléments tels que des gains de temps pour les clients et des économies faites par l’entreprise qui a recours à un tel traitement automatisé peuvent être pertinents pour apprécier la nécessité de ce traitement automatisé si, dans les circonstances spécifiques de l’espèce, ils sont de nature à démontrer objectivement cette nécessité, notamment en ce sens qu’il ne saurait être recouru à une alternative moins intrusive.

 Conclusion

68.      Eu égard à l’analyse exposée dans les présentes conclusions, je propose à la Cour de répondre de la manière suivante aux questions préjudicielles posées par l’Oberster Gerichtshof (Cour suprême, Autriche) :

1)      L’article 22, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)

doit être interprété en ce sens que :

dans le contexte d’une vente par correspondance, la décision d’exclure la possibilité pour un client de choisir certains modes de paiement, prise sur le fondement exclusif d’une évaluation automatisée de la probabilité d’un défaut de paiement de ce client, produit des effets juridiques sur ledit client ou, à tout le moins, l’affecte de manière significative de façon similaire, si elle est susceptible d’empêcher la conclusion du contrat de vente en cause.

2)      L’article 22, paragraphe 2, sous a), du règlement 2016/679

doit être interprété en ce sens que :

lorsqu’une société de vente par correspondance conclut un contrat avec un client, d’une part, il convient d’établir l’existence d’un lien objectif entre l’objet de ce contrat et l’évaluation automatisée de la probabilité d’un défaut de paiement du client pour pouvoir conclure au caractère nécessaire à l’exécution dudit contrat d’une telle évaluation automatisée et, d’autre part, il convient que les données collectées à cet effet soient objectivement appropriées pour réaliser cette évaluation ainsi que de préciser quelles étaient ces données et pourquoi elles ont été collectées. À cet égard, la charge de la preuve pèse sur la société de vente par correspondance.

3)      L’article 22, paragraphe 2, sous a), du règlement 2016/679

doit être interprété en ce sens que :

d’une part, pour que la dérogation à l’interdiction d’adopter une décision fondée exclusivement sur un traitement automatisé qu’il prévoit soit applicable, il convient qu’une décision automatisée soit nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et un responsable du traitement, en ce sens, notamment qu’il ne puisse pas être recouru à une alternative moins intrusive et, d’autre part, des éléments tels que des gains de temps pour les clients et des économies faites par l’entreprise qui a recours à un tel traitement automatisé peuvent être pertinents pour apprécier la nécessité de ce traitement automatisé si, dans les circonstances spécifiques de l’espèce, ils sont de nature à démontrer objectivement cette nécessité, notamment en ce sens qu’il ne saurait être recouru à une alternative moins intrusive.

1      Langue originale : le français.

2      Voir, à ce sujet, arrêt du 7 décembre 2023, SCHUFA Holding e.a. (Scoring) [C‑634/21, ci-après l’« arrêt SCHUFA Holding e.a. (Scoring) », EU:C:2023:957, points 57 à 59].

3      Voir, à ce sujet, Poullet, Y., « Cinq ans après : le RGPD et les défis du profilage à l’heure de l’intelligence artificielle », Revue des affaires européennes , 2021/I, p. 97 et 98.

4      Voir arrêt du 14 avril 2026, Pelham (Notion de « pastiche ») (C‑590/23, EU:C:2026:290, point 34 et jurisprudence citée).

5      À cet égard, il me semble en revanche que ces considérations n’induisent pas nécessairement que les effets de la décision en cause soient empreints d’une forme de gravité, contrairement aux considérations exposées par le groupe de travail sur la protection des personnes à l’égard du traitement des données à caractère personnel, institué à l’article 29 de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), dans les lignes directrices relatives à la prise de décision individuelle automatisée et au profilage aux fins du règlement (UE) 2016/679, adoptées le 3 octobre 2017, dans leur version révisée et adoptée le 6 février 2018 (voir p. 23). Les effets d’une décision peuvent être considérés comme significatifs, au sens où ils revêtent une certaine importance pour la personne qui en fait l’objet (économique, sociale, professionnelle, etc.), sans présenter pour autant un caractère de « gravité », cette dernière notion se caractérisant par sa connotation négative et suggérant une conséquence défavorable ou une forme d’atteinte (préjudice, risque, etc.).

6      Il résulte, selon moi, de cette formulation que pourraient relever de la seconde hypothèse envisagée à l’article 22, paragraphe 1, du RGPD des situations telles que l’appréciation d’une demande de crédit, la fixation du montant d’une prime d’assurance, ou la prise en charge – ou non – de soins médicaux, etc.

7      Voir arrêt du 27 février 2025, Dun & Bradstreet Austria e.a. (C‑203/22, EU:C:2025:117, point 51).

8      Voir, en ce sens, arrêt SCHUFA Holding e.a. (Scoring)(points 48 et 49).

9      Voir, en ce sens, arrêt du 29 juillet 2024, Perle (C‑14/23, EU:C:2024:647, point 49 et jurisprudence citée).

10      Directive du Parlement européen et du Conseil du 23 avril 2008, concernant les contrats de crédit aux consommateurs et abrogeant la directive 87/102/CEE du Conseil (JO 2008, L 133, p. 66, ainsi que rectificatifs JO 2009, L 207, p. 14, JO 2010, L 199, p. 40, JO 2011, L 234, p. 46, et JO 2015, L 36, p. 15)

11      « La présente directive ne s’applique pas : [...] aux contrats de crédit sans intérêt et sans autres frais et aux contrats de crédit en vertu desquels le crédit doit être remboursé dans un délai ne dépassant pas trois mois, et pour lesquels ne sont requis que des frais négligeables. »

12      Directive du Parlement européen et du Conseil du 18 octobre 2023 relative aux contrats de crédit aux consommateurs et abrogeant la directive 2008/48/CE (JO L, 2023/2225).

13      Cette directive comprend des dispositions susceptibles d’exercer une influence substantielle sur le recours aux décisions automatisées, qu’elle encadre précisément dans le contexte de l’évaluation obligatoire de la solvabilité des consommateurs, à son article 18, et notamment au paragraphe 8 de celui-ci. Toutefois, il ressort de son article 2, paragraphe 2, sous h), que ladite directive pourrait ne pas être applicable à des contrats tels que ceux qui font l’objet du litige au principal.

14      Voir, en ce sens et dans le contexte de la protection des données à caractère personnel et des dérogations à celle-ci qui doivent s’appliquer dans les limites du strict nécessaire, arrêts du 6 octobre 2020, La Quadrature du Net e.a. (C‑511/18, C‑512/18 et C‑520/18, EU:C:2020:791, point 210 et jurisprudence citée), ainsi que du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social) (C‑252/21, EU:C:2023:537, point 93 et jurisprudence citée).

15      Arrêt du 14 décembre 2017, EBMA/Giant (China) (C‑61/16 P, EU:C:2017:968, point 47). Dans cet arrêt, la Cour a jugé, en substance, que ce sont seulement les informations sans lesquelles une enquête antidumping ne peut pas être menée à son terme qui peuvent être considérées comme « nécessaires », au sens de l’article 18, paragraphe 1, du règlement (CE) n^o 1225/2009 du Conseil, du 30 novembre 2009, relatif à la défense contre les importations qui font l’objet d’un dumping de la part de pays non membres de la Communauté européenne (JO 2009, L 343, p. 51, et rectificatif JO 2010, L 7, p. 22).

16      Arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social) (C‑252/21, EU:C:2023:537, points 98 et 99).

17      Compte tenu des exigences d’unité et de cohérence de l’ordre juridique de l’Union, les notions utilisées par les actes adoptés dans un même domaine doivent avoir la même signification lorsque le législateur de l’Union n’a pas exprimé une volonté différente [voir, par analogie, arrêt du 17 mars 2021, Wellcome Trust (C‑459/19, EU:C:2021:209, point 35 et jurisprudence citée)].

18      Au point de considérer que cette décision comprend ce traitement de données.

19      Par opposition, par exemple, au raisonnement suivi aux points 39 à 42 de l’arrêt du 9 janvier 2025, Mousse (C‑394/23, EU:C:2025:2), à travers lesquels la Cour a, en substance, considéré que la personnalisation de la communication commerciale, en fonction du genre du client concerné, n’était pas nécessaire pour fournir à ce client un service de transport ferroviaire, dans la mesure où l’entreprise concernée pouvait par exemple opter pour une communication reposant sur des formules de politesse génériques. En revanche, en l’occurrence, la capacité du client à acquitter les paiements qui sont partie intégrante de la prestation contractuelle en cause est susceptible d’en affecter directement la bonne exécution.

20      Arrêt du 4 octobre 2024, Schrems (Communication de données au grand public) (C‑446/21, EU:C:2024:834, points 47 à 49 et jurisprudence citée).

21      Arrêt du 4 octobre 2024, Schrems (Communication de données au grand public) (C‑446/21, EU:C:2024:834, points 59 et 60 ainsi que jurisprudence citée).

22      Arrêt du 18 juin 2026, NTH Haustechnik (C‑484/24, EU:C:2026:496, point 97).

23      Voir, par analogie, arrêt du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette) (C‑26/22 et C‑64/22, EU:C:2023:958, points 82 à 86).

24      Aux fins de cette appréciation, il serait notamment pertinent d’établir si les données en cause ont un lien direct et objectif avec l’évaluation de la solvabilité du client concerné et si elles sont indispensables – seules ou en combinaison avec d’autres données – à cette évaluation, tout en s’interrogeant quant aux risques qu’elle représente pour la personne concernée.

25      Arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social) (C‑252/21, EU:C:2023:537, point 98).

26      Cette interprétation est, d’ailleurs, corroborée par d’autres versions linguistiques de cette disposition. Ainsi, la version en langue allemande mentionne « die Entscheidung », tandis que la version en langue anglaise évoque « the decision ».

27      Voir, par analogie, arrêt du 5 mars 2024, Kočner/Europol (C‑755/21 P, EU:C:2024:202, point 59 et jurisprudence citée).

28      Souligné par mes soins.

29      Proposition de règlement du Parlement européen et du Conseil modifiant les règlements (UE) 2016/679, (UE) 2018/1724, (UE) 2018/1725 et (UE) 2023/2854 ainsi que les directives 2002/58/CE, (UE) 2022/2555 et (UE) 2022/2557 en ce qui concerne la simplification du cadre législatif numérique, et abrogeant les règlements (UE) 2018/1807, (UE) 2019/1150 et (UE) 2022/868 ainsi que la directive (UE) 2019/1024 (règlement omnibus numérique) [COM(2025) 837 final].

30      Voir, par analogie, arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social) (C‑252/21, EU:C:2023:537, point 99).

31      Je pense, notamment, à des études chiffrées des coûts et bénéfices, ainsi qu’à l’impact financier des différentes mesures envisageables sur l’entreprise en cause, et, par exemple, à des études statistiques.