La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié une recommandation en mai 2026 et des explications sur les droits des personnes en cas de refus de crédit, notamment concernant l’évaluation de leur solvabilité.

Les établissements financiers, qui ne sont pas tenus d'accorder un crédit en vertu du principe de liberté contractuelle, ont l'obligation légale d'évaluer la solvabilité des demandeurs. Cette évaluation peut s'appuyer sur des outils d'intelligence artificielle ou des modèles statistiques, lesquels doivent respecter le RGPD en matière de transparence et de non-discrimination, l'établissement demeurant responsable de la décision finale. Avant d'octroyer un crédit, le prêteur doit notamment consulter le fichier national des incidents de remboursement des crédits aux particuliers (FICP), géré par la Banque de France, et peut aussi consulter le fichier central des chèques (FCC).

Un refus de crédit peut résulter de plusieurs facteurs, comme une situation jugée risquée par le prêteur, des demandes multiples auprès d'établissements d'un même groupe en moins de six mois, ou une inscription dans un fichier d'incident de paiement. Les données d'une demande refusée peuvent être conservées six mois. Les établissements peuvent aussi utiliser leurs propres fichiers recensant des incidents de paiement passés, la CNIL recommandant de ne pas les utiliser au-delà de vingt-quatre mois. Les personnes concernées disposent d'un droit d'accès à leurs données, y compris leur "score" et les éléments pour le comprendre, en vertu de l'article 15 du RGPD, ainsi qu'un droit de rectification des informations inexactes conformément à l'article 16 du RGPD.