Décision automatisée et Loi 25 : ce qu'il faut dire à la personne

Une entreprise qui utilise des renseignements personnels pour qu'une décision soit rendue exclusivement par un traitement automatisé en informe la personne concernée au plus tard au moment où elle l'informe de la décision. Un score de crédit interne, un refus d'accès, une sélection de candidatures ou une tarification qui sort de l'outil sans qu'une personne tranche : le texte vise ces cas.

Ce que la personne peut demander

• Les renseignements personnels utilisés pour rendre la décision.
• Les raisons, ainsi que les principaux facteurs et paramètres qui ont mené à la décision.
• Le droit de faire rectifier les renseignements personnels utilisés pour rendre la décision.

On lui donne aussi l'occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision. Un formulaire qui confirme seulement le résultat, sans nommer qui peut le revoir, ne répond pas à ça.

Quand la règle ne s'applique pas de la même façon

Si une personne de l'entreprise revoit le dossier et rend elle-même la décision, le traitement n'est plus exclusivement automatisé. Gardez la trace de cette revue : qui a décidé, à partir de quoi, et ce qui a été modifié. Un clic de validation sans lecture du dossier laisse la décision dans le champ de la règle.

Le profilage, qui évalue des préférences ou un comportement, est une collecte à part. S'il alimente ensuite une décision exclusivement automatisée, les deux obligations se cumulent : informer avant d'activer la technologie, puis informer de la décision.

Écrivez dans la procédure le moment de l'avis, l'adresse des demandes et le rôle qui révise. Conservez la demande et la réponse avec le dossier.