Refus de crédit : la CNIL rappelle vos droits et les obligations RGPD des établissements financiers

La CNIL a mis en ligne une page explicative destinée au grand public sur le refus de crédit, dans le prolongement d'une recommandation publiée en mai 2026 sur l'évaluation de la solvabilité des demandeurs de crédit. Ce document s'adresse aussi bien aux particuliers qu'aux professionnels du secteur financier.

Une recommandation CNIL publiée en mai 2026

En mai 2026, la CNIL a publié une recommandation spécifiquement destinée aux professionnels de l'octroi de crédit. Elle leur fournit des éléments concrets pour respecter leurs obligations légales et les droits des personnes concernées. Cette page publiée le 19 août 2026 en synthétise les principaux apports pour le grand public.

Liberté contractuelle et obligation d'évaluation de solvabilité

Il n'existe pas de « droit au crédit » : un établissement financier demeure libre, en vertu du principe de liberté contractuelle, de refuser de conclure un contrat de prêt. Pour autant, les établissements financiers sont soumis à une obligation légale d'évaluer la **solvabilité** du demandeur, c'est-à-dire sa capacité à rembourser le crédit sollicité. Cette évaluation repose sur des informations pertinentes relatives à la situation financière de la personne et peut inclure, dans certains cas, la consultation du **fichier national des incidents de remboursement des crédits aux particuliers (FICP)**, géré par la Banque de France.

Les outils d'évaluation soumis au RGPD

Les établissements peuvent recourir à des **outils automatisés ou à des modèles statistiques** pour évaluer la solvabilité ou le risque associé à un demandeur. La CNIL rappelle explicitement que ces outils sont soumis au **règlement européen sur la protection des données (RGPD)**. À ce titre, ils doivent répondre à trois exigences fondamentales :

- **Transparence** : les critères utilisés doivent pouvoir être expliqués au demandeur ;

- **Limitation des biais** : les modèles ne doivent pas introduire de distorsions injustifiées ;

- **Non-discrimination** : les décisions automatisées ne doivent pas conduire à des traitements discriminatoires.

Dans tous les cas, les établissements **demeurent responsables** des décisions prises et doivent être en mesure d'expliquer les principaux critères ayant conduit au refus, ainsi que les conséquences de ce processus pour la personne concernée.

Le droit de connaître les raisons du refus

Toute personne dont la demande de crédit a été refusée dispose du **droit d'en connaître les raisons**, notamment lorsque ce refus repose sur la consultation du FICP. Elle peut également accéder aux données prises en compte pour évaluer sa situation. La CNIL précise toutefois qu'elle ne peut pas intervenir pour aider un particulier à obtenir un crédit, mais uniquement pour l'aider à **exercer ses droits** en matière de protection des données.

Ce que cela implique pour les entreprises

Pour les établissements financiers et plus largement pour toute entreprise recourant à des outils d'analyse automatisée dans le cadre de décisions contractuelles, cette publication de la CNIL constitue un rappel structurant : la conformité RGPD ne se limite pas à la collecte des données, elle s'étend aux **processus décisionnels algorithmiques** et à l'obligation d'explicabilité envers les personnes concernées.