Dans son étude consacrée au numérique et aux droits fondamentaux, le Conseil d'État propose d'assurer l'effectivité de l'interdiction de fonder une décision sur la seule mise en œuvre d'un traitement automatisé sans intervention humaine (proposition no 23). Dans la même proposition, le Conseil d'État suggère d'indiquer dans un instrument de droit souple les critères d'appréciation du caractère effectif de cette intervention. L'article 22 du règlement (UE) 2016/679 du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, précise que les personnes ont le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, produisant des effets juridiques les concernant ou les affectant de manière significative. Toutefois, selon cette même disposition, ce droit ne trouve pas à s'appliquer lorsque le traitement est nécessaire à la conclusion ou à l'exécution d'un contrat, lorsque le droit de l'Union ou le droit national autorise cette décision ou lorsque le traitement est fondé sur le consentement explicite de la personne concernée. Dans les cas où la décision est fondée sur un contrat ou sur le consentement de la personne, le règlement précise que le responsable du traitement devra mettre « en œuvre des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée, au moins du droit de la personne concernée d'obtenir une intervention humaine de la part du responsable du traitement, d'exprimer son point de vue et de contester la décision. » La notion de « mesures appropriées » n'est pas définie par le règlement. Ainsi que le préconise la proposition no 23, cette notion pourra, par conséquent, sous réserve de l'appréciation de ces instances, être précisée par la Commission nationale de l'informatique et des libertés dans une recommandation ou par un avis du Groupe de l'article 29 (G29) lequel réunit l'ensemble des autorités de contrôle européennes. Il résulte de ce qui précède que la combinaison de l'article 22 du règlement qui entrera en vigueur le 25 mai 2018 et les précisions que pourront apporter, le cas échéant, les autorités de contrôle permettront d'assurer la mise en œuvre effective de la proposition no 23.