Refus de crédit : la CNIL publie son mode d'emploi pour les particuliers

La CNIL publie ce 19 août 2026 une fiche pratique intitulée « Le refus de crédit en questions », destinée cette fois aux particuliers. Trois mois après sa recommandation structurante adressée aux établissements financiers, l'autorité referme la boucle en expliquant aux emprunteurs comment comprendre un refus, obtenir leur score et exercer leurs droits RGPD. Pour les organismes de crédit, c'est un signal clair : les demandes d'accès et de rectification vont augmenter, et il faut être prêt à y répondre.

Ce qui s'est passé

La fiche part d'un principe simple rappelé par la CNIL : il n'existe pas de « droit au crédit ». Un établissement reste libre de refuser un dossier au nom de la liberté contractuelle. Mais avant toute décision, il doit évaluer la solvabilité du demandeur à partir d'informations pertinentes, en consultant le cas échéant le fichier national des incidents de remboursement des crédits aux particuliers (FICP) tenu par la Banque de France, voire le fichier central des chèques (FCC).

La CNIL détaille trois causes possibles de refus : un dossier jugé « à risque » par l'établissement, des demandes multiples déposées auprès d'un même groupe bancaire en moins de six mois, ou une inscription au FICP ou dans un fichier interne d'incidents de paiement. Elle rappelle aussi que les établissements peuvent recourir à des outils d'intelligence artificielle ou à des modèles statistiques pour évaluer le risque — des outils qui, précise la CNIL, « sont soumis au RGPD » et doivent rester transparents, limiter les biais et éviter toute discrimination.

Sur les recours, la fiche est précise : demander un réexamen du dossier auprès du service clientèle, saisir un médiateur bancaire, mais surtout exercer le droit d'accès (article 15 du RGPD) pour obtenir communication de son « score » et des critères qui l'expliquent, puis le droit de rectification (article 16) si des informations inexactes ont pesé dans la décision.

Pourquoi c'est important

Ce document referme un dispositif en deux temps que la CNIL a construit méthodiquement depuis mai 2026. D'un côté, une recommandation opposable aux établissements financiers, qui encadre le scoring automatisé et l'effectivité des droits des personnes. De l'autre, une note pédagogique sur les droits des demandeurs, déjà publiée le même jour que la recommandation. La fiche du 19 août ajoute une troisième brique, beaucoup plus opérationnelle : un mode d'emploi pas à pas, avec les adresses de la Banque de France, les modèles de courrier CNIL et les délais de conservation recommandés (24 mois maximum pour les incidents de paiement, sauf circonstances particulières).

L'enjeu RGPD central reste le droit à l'intervention humaine face à une décision automatisée (article 22). La CNIL insiste : même lorsqu'un algorithme ou un modèle statistique participe à l'évaluation, l'établissement demeure responsable de la décision et doit être capable d'en expliquer les critères principaux à la personne concernée. C'est exactement la logique de conformité au profilage que les DPO du secteur bancaire et du crédit à la consommation doivent désormais documenter de façon systématique.

Ce que ça change pour les organisations

Pour les établissements de crédit, sociétés de crédit à la consommation et acteurs du paiement fractionné, cette fiche grand public change concrètement la donne : les emprunteurs refusés savent désormais qu'ils peuvent demander leur score et les critères qui l'expliquent, et qu'un refus fondé sur une inscription au FICP doit leur être signalé. Trois actions concrètes s'imposent.

D'abord, vérifier que le processus de réponse au droit d'accès permet de produire une explication « précise et personnalisée » du score, et pas une simple répétition des informations déjà transmises avant l'octroi — la CNIL est explicite sur ce point. Ensuite, documenter les critères objectifs utilisés pour tenir compte des incidents de paiement passés, avec une durée de conservation encadrée. Enfin, s'assurer que le magasin ou partenaire qui propose un crédit renouvelable ou un paiement fractionné communique bien le nom de la société de crédit réellement responsable du traitement, condition nécessaire pour que le consommateur puisse exercer ses droits auprès du bon interlocuteur.

Ce que Leto pense de cette décision

En publiant coup sur coup une recommandation technique pour les professionnels puis, trois mois plus tard, un guide pratique pour les particuliers, la CNIL construit une stratégie de contrôle en tenaille : les établissements sont tenus par une doctrine précise, et les consommateurs sont désormais équipés pour la faire valoir eux-mêmes. Les demandes d'accès au score vont mécaniquement augmenter dans les prochains mois. Les organismes de crédit qui n'ont pas encore formalisé une procédure d'explicabilité de leur scoring ont tout intérêt à le faire avant que la première plainte n'arrive sur le bureau de la CNIL.

Sources : CNIL, « Le refus de crédit en questions », CNIL, demandes de crédit : comprendre l'utilisation de vos données et vos droits.