Refus de crédit : la CNIL rappelle le droit d'accès au score et aux motifs

Une personne dont la demande de crédit a été rejetée peut réclamer à l'établissement une copie des informations enregistrées à son sujet, la source de ces informations et le score qui lui a été attribué. La CNIL l'a rappelé le 19 août 2026 dans une série de réponses publiées à l'intention des demandeurs de crédit. Le document tire les conséquences, pour les particuliers, de la recommandation que l'autorité avait adressée aux professionnels le 7 mai 2026.

Le point de départ est un rappel qui n'est pas favorable à l'emprunteur : il n'existe pas de droit au crédit. L'établissement financier reste libre de contracter ou non, en vertu du principe de liberté contractuelle inscrit à l'article 1101 du code civil. En revanche, il a l'obligation d'évaluer la capacité de remboursement avant d'accorder un prêt, et cette évaluation, elle, est encadrée.

Un refus fondé sur le FICP doit être annoncé comme tel

Le prêteur doit en général interroger le fichier national des incidents de remboursement des crédits aux particuliers, tenu par la Banque de France. Il peut aussi consulter le fichier central des chèques, sans y être tenu. La distinction a une conséquence directe : lorsque le refus est lié à une inscription au premier fichier, le demandeur doit en être informé. Pour les autres fichiers, y compris les fichiers internes à l'établissement, la CNIL recommande la même information, mais aucune obligation légale ne s'impose.

Hors de ce cas, un établissement n'a pas à motiver son refus. Si le motif figure malgré tout au dossier, le demandeur peut l'obtenir en exerçant son droit d'accès, prévu par l'article 15 du règlement général sur la protection des données.

Six mois pour une demande refusée, vingt-quatre pour un impayé

Deux durées structurent la mémoire des établissements. Lorsqu'un candidat n'est pas client et que sa demande est rejetée, l'organisme peut conserver six mois les informations relatives à cette demande, afin d'instruire plus vite une éventuelle nouvelle sollicitation. Une conservation plus longue n'est admise que pour la durée de la prescription applicable ou jusqu'au terme d'une procédure judiciaire, et dans des conditions de confidentialité strictes. La CNIL souligne qu'une conservation sans limite constituerait une infraction au règlement européen.

La seconde durée concerne les incidents de paiement passés d'un client. L'établissement ne peut retenir que des manquements répondant à des critères objectifs, définis à l'avance, et doit tenir compte du contexte : contestation, régularisation, décision de justice. L'autorité recommande de ne plus utiliser ces incidents au-delà de vingt-quatre mois, sauf circonstances particulières. Un incident écarté par une décision de justice définitive ne peut plus entrer dans l'évaluation.

L'autorité signale par ailleurs qu'une demande déposée auprès de plusieurs établissements d'un même groupe en moins de six mois peut peser sur l'examen du dossier, les informations circulant à l'intérieur du groupe.

Le score doit être expliqué, pas seulement communiqué

Le droit d'accès porte aussi sur la note attribuée au dossier. La personne peut demander à connaître son score, accompagné des éléments qui permettent de l'interpréter, par exemple les notes minimale et maximale requises pour obtenir le crédit. La CNIL précise que ces éléments ne peuvent pas se réduire à la répétition des informations déjà transmises avant l'évaluation : ils doivent être précis et personnalisés. Le droit d'accès n'est toutefois pas absolu, le secret des affaires pouvant être opposé ; mais le refus ne peut être ni global ni absolu, et l'établissement doit fournir le maximum d'éléments possible.

Les données inexactes peuvent ensuite être rectifiées ou complétées sur le fondement de l'article 16 du même règlement. L'autorité cite le cas d'un demandeur dont la situation a évolué depuis des difficultés de paiement anciennes : il peut demander la rectification des informations et le réexamen de son dossier.

Les algorithmes n'exonèrent pas l'établissement

Les organismes financiers peuvent s'appuyer sur des modèles statistiques ou des systèmes d'intelligence artificielle pour apprécier la solvabilité ou le risque. Ces outils relèvent du règlement européen sur la protection des données : ils doivent être transparents, limiter les biais et ne pas produire de discriminations. La responsabilité de la décision reste celle de l'établissement, qui doit pouvoir exposer les principaux critères ayant conduit au résultat et les conséquences du processus pour la personne.

La recommandation de mai 2026, qui remplace l'ancienne autorisation unique AU-005, s'adresse aux organismes privés prêteurs ainsi qu'aux intermédiaires en opérations de banque et en services de paiement, pour les crédits à la consommation et les crédits immobiliers. La CNIL l'a justifiée notamment par deux arrêts de la Cour de justice de l'Union européenne, dans les affaires C-634/21 et C-203/22, qui qualifient le score de décision automatisée lorsqu'il joue un rôle déterminant et consacrent un droit à l'explication.