Une décision automatisée qui coûte 824 990 000 euros. L’autorité néerlandaise de protection des données a sanctionné Uber le 21 août 2026 pour des comptes de chauffeurs désactivés par un logiciel. Et si vous pensiez qu’un salarié quelque part dans le circuit suffisait à échapper à l’article 22 du RGPD, la décision dit exactement l’inverse : ce qui compte n’est pas la présence de l’humain, c’est son pouvoir d’infirmer.
Pourquoi Uber écope-t-il de 825 millions d’euros ?
Entre 2018 et 2022, Uber exploitait des systèmes qui suivaient le comportement de conduite et les notes attribuées par les clients. En cas de suspicion de fraude, le compte du chauffeur était temporairement désactivé. En cas de notes durablement basses, la désactivation devenait définitive.
Dans les deux cas, le revenu tiré de la plateforme s’arrêtait. Et dans les deux cas, aucune personne n’examinait la décision au moment où elle produisait ses effets.
L’affaire est née en France. La Ligue des droits de l’Homme avait saisi la CNIL en 2020 pour le compte de 171 chauffeurs. L’autorité néerlandaise, chef de file au titre du guichet unique, a mené l’enquête avec la coopération de la CNIL. Le montant, 824 990 000 euros, représente environ 1,85 % du chiffre d’affaires annuel du groupe. C’est la deuxième amende RGPD la plus élevée jamais prononcée. Uber a fait appel.
Qu’est-ce qu’une décision « exclusivement » automatisée ?
L’article 22 du RGPD interdit par principe qu’une personne fasse l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets de droit ou l’affectant de manière significative de façon similaire.
Le mot qui fait tout le travail est « exclusivement ». Beaucoup d’organisations s’estiment hors champ parce qu’un collaborateur figure quelque part dans la procédure. C’est précisément ce raisonnement que la décision Uber écarte.
Le point de bascule ne se situe pas non plus dans la technologie employée. Une règle de gestion écrite dans un tableur produit le même effet qu’un modèle d’apprentissage. Pour situer la limite entre simple analyse et décision, la distinction entre profilage et décision automatisée reste l’entrée la plus fiable.
Comment prouver que l’intervention humaine est réelle ?
L’autorité pose un critère exploitable : le relecteur humain doit disposer d’une autorité réelle pour infirmer le résultat de l’algorithme, et l’exercer lorsque c’est justifié. Une validation de forme ne suffit pas. Voici ce qui sépare les deux situations.
| Élément | Validation de forme (article 22 applicable) | Intervention réelle (article 22 écarté) |
|---|---|---|
| Mandat | Aucune délégation écrite d’infirmation | Délégation formelle de contredire la sortie du système |
| Moment | Réexamen après application de la mesure | Réexamen avant que la mesure produise ses effets |
| Éléments fournis | Le score seul, ou l’alerte seule | Les données d’entrée, les critères et le contexte |
| Compétence | Opérateur sans marge d’appréciation | Personne qualifiée sur le sujet traité |
| Preuve | Aucune trace des réexamens | Journal daté, avec taux d’infirmation mesuré |
Le dernier point est celui qui manque presque toujours. Un taux d’infirmation de zéro sur plusieurs milliers de dossiers est un aveu : le relecteur ne relit pas, il enregistre.
Que faut-il dire aux personnes sur la logique de l’algorithme ?
Le second manquement retenu porte sur l’information. Uber n’a pas expliqué aux chauffeurs comment fonctionnait le mécanisme de décision ni quelles en étaient les conséquences.
Une notification de désactivation ne remplit pas cette obligation. Les articles 13 et 14 du RGPD imposent des informations utiles sur la logique sous-jacente, l’importance du traitement et ses conséquences prévues. En pratique : quels signaux déclenchent la mesure, quel seuil, quelle durée, et comment demander un réexamen par une personne.
La Cour de justice avait déjà exigé une explication compréhensible pour les algorithmes de notation. La décision Uber en tire la conséquence financière.
Documenter chaque traitement algorithmique, tracer les réexamens humains et prouver que la mention d’information existe demande un registre vivant, pas un tableur annuel. DPO SUITE tient ce registre à jour et conserve la preuve de vos analyses, ce qui transforme un contrôle en simple export.
Quels traitements de votre organisme sont concernés ?
La sanction vise une plateforme, mais le mécanisme est banal. Passez en revue les cas suivants.
- Blocage ou suspension automatique d’un compte client en cas de suspicion de fraude
- Refus automatisé d’une commande, d’un financement ou d’une garantie
- Tri et scoring de candidatures avant tout regard humain
- Résiliation ou déréférencement d’un partenaire fondé sur une note moyenne
- Attribution ou retrait automatique d’un droit, d’une aide ou d’un accès
- Affectation ou planification imposée à un travailleur par un outil de pilotage
Pour chacun, la question n’est plus « y a-t-il un humain ? » mais « cet humain peut-il dire non, dispose-t-il des éléments pour le faire, et l’a-t-il déjà fait ? ». Si le traitement présente un risque élevé, l’analyse se poursuit dans une analyse d’impact sur la protection des données.
Source officielle : communiqué de la CNIL du 24 août 2026.
FAQ
L’article 22 s’applique-t-il aux petites structures ?
Oui, le texte ne prévoit aucun seuil d’effectif ni de chiffre d’affaires. Une association qui refuse automatiquement une adhésion, ou un commerçant dont l’outil bloque seul un compte client, entre dans le champ. Seule compte la nature de la décision et son effet significatif sur la personne concernée.
Un simple score de risque déclenche-t-il l’article 22 ?
Non, tant que le score reste un élément d’appréciation parmi d’autres. Il bascule dans l’article 22 dès qu’il commande seul la suite, par exemple lorsqu’un seuil déclenche automatiquement un refus. La frontière tient à l’existence d’une marge réelle laissée à la personne qui décide ensuite.
Le consentement permet-il d’échapper à l’interdiction ?
Le consentement explicite figure parmi les trois exceptions, avec le contrat et une disposition du droit de l’Union ou national. Mais il doit être libre, ce qui est douteux dans une relation de travail ou de dépendance économique. Les garanties de réexamen humain restent dues dans tous les cas.
Combien de temps conserver la trace d’un réexamen humain ?
Aucune durée n’est fixée par le RGPD. Alignez la conservation sur la durée pendant laquelle la décision peut être contestée, en pratique plusieurs années pour une mesure touchant un revenu ou un contrat. Conservez la date, l’auteur, les éléments consultés et le sens du réexamen.
Faut-il une analyse d’impact pour tout traitement algorithmique ?
Pas systématiquement, mais l’évaluation systématique fondée sur un traitement automatisé produisant des effets significatifs figure parmi les critères qui la rendent obligatoire. Dès qu’une décision affecte l’accès à un revenu, à un service essentiel ou à un emploi, l’analyse d’impact devient la position par défaut.
