Le 21 août 2026, l’au­to­rité néer­lan­daise de protec­tion des données (Autoriteit Persoonsgegevens, dite « AP ») a infligé une amende de près de 825 millions d’euros à Uber pour avoir laissé ses algo­rithmes désac­ti­ver seuls les comptes de ses chauffeurs.

Née d’une plainte dépo­sée en France, l’af­faire donne à l’in­ter­dic­tion des déci­sions entiè­re­ment auto­ma­ti­sées au sens de l’art. 22 RGPD sa sanc­tion la plus reten­tis­sante à ce jour et dessine, en creux, une feuille de route pour toute orga­ni­sa­tion qui auto­ma­tise des décisions.

À l’ori­gine, 171 chauf­feurs fran­çais réunis par la Ligue des droits de l’Homme dénon­çaient devant la CNIL les désac­ti­va­tions de comptes prati­quées par la plate­forme. Le siège euro­péen d’Uber se trou­vant à Amsterdam, le méca­nisme du guichet unique désigne l’AP comme auto­rité chef de file, en étroite coopé­ra­tion avec la CNIL.

Uber utili­sait entre 2018 et 2022 des logi­ciels pour suivre le compor­te­ment de conduite de ses chauf­feurs et compi­ler les nota­tions lais­sées par les clients. De cette analyse de compor­te­ment décou­laient plusieurs conséquences :

• lorsque le système détec­tait une suspi­cion de fraude, le compte du chauf­feur était auto­ma­ti­que­ment désac­tivé à titre temporaire ;
• lorsque les nota­tions des clients restaient dura­ble­ment basses, la désac­ti­va­tion deve­nait définitive.

Or, aucun examen humain n’in­ter­ve­nait et, privé de compte, le chauf­feur perdait du jour au lende­main les reve­nus tirés d’Uber.

Le cas d’Uber n’a d’ailleurs rien d’isolé. Sur les plate­formes concur­rentes, ce sont des logi­ciels qui notent les chauf­feurs, leur attri­buent les courses, fixent les prix et prononcent les sanc­tions. Ces très nombreuses déci­sions sont prises en quelques secondes sans contrôle humain.

Cette pratique explique donc la vigi­lance des auto­ri­tés, dès lors que face à des systèmes qui décident seuls et en masse, l’in­ter­ven­tion humaine et l’in­for­ma­tion des personnes concer­nées restent les seuls véri­tables garde-fous.

Une inter­dic­tion de prin­cipe, prise au sérieux

L’art. 22 par. 1 RGPD confère à toute personne le droit de ne pas faire l’ob­jet d’une déci­sion fondée exclu­si­ve­ment sur un trai­te­ment auto­ma­tisé lors­qu’elle produit des effets juri­diques la concer­nant ou l’af­fecte de manière signi­fi­ca­tive de façon similaire.

Concrètement, cette dispo­si­tion vise les situa­tions où un logi­ciel tranche du début à la fin, sans qu’au­cun humain ne valide le résul­tat, et où ce résul­tat a des consé­quences sur la situa­tion de la personne. Tel est le cas par exemple du refus d’un crédit ou encore de la rési­lia­tion d’un contrat. À l’in­verse, un système qui se borne à prépa­rer ou à suggé­rer une déci­sion qu’un humain valide par la suite n’entre pas dans le champ de cette interdiction.

Les auto­ri­tés euro­péennes lisent cette dispo­si­tion comme une inter­dic­tion de prin­cipe et la CJUE retient une concep­tion large de la notion de déci­sion, comme l’illustre son arrêt C‑634/​21 rendu en matière de scores de solva­bi­lité (cf. swiss​pri​vacy​.law/​2​74/)).

En l’es­pèce, la désac­ti­va­tion d’un compte qui condi­tionne les reve­nus d’un chauf­feur remplit ces critères sans difficulté.

Pour être licite, une telle déci­sion aurait dû remplir deux condi­tions cumu­la­tives. Elle devait d’abord se ratta­cher à l’une des excep­tions du par. 2, à savoir la néces­sité contrac­tuelle, l’au­to­ri­sa­tion légale ou le consen­te­ment explicite.

Elle devait ensuite s’ac­com­pa­gner des garan­ties du par. 3, telles que l’in­ter­ven­tion humaine, la possi­bi­lité d’ex­pri­mer son point de vue et le droit de contes­ter la décision.

De ces trois excep­tions, aucune n’était sérieu­se­ment envi­sa­geable. En effet, le consen­te­ment expli­cite des chauf­feurs à leur propre désac­ti­va­tion auto­ma­tique se conçoit mal, tout comme une auto­ri­sa­tion légale couvrant un tel dispositif.

Restait la néces­sité contrac­tuelle, mais celle-ci est d’in­ter­pré­ta­tion stricte. Elle suppose qu’au­cun moyen moins intru­sif ne permette d’at­teindre le même but. Un tel moyen exis­tait pour­tant, puis­qu’il suffi­sait de confier à un humain l’exa­men des dossiers signa­lés par le système.

Rien de tel en l’es­pèce. L’AP constate que les blocages s’opé­raient sans aucune inter­ven­tion humaine et que les chauf­feurs n’étaient pas suffi­sam­ment infor­més de l’exis­tence même de cette prise de déci­sion automatisée.

Un quan­tum record, au terme d’une série

L’amende infli­gée, de 824’990’000 euros très exac­te­ment, se comprend au regard du plafond de l’art. 83 par. 5 RGPD : 4 % du chiffre d’af­faires annuel mondial, d’en­vi­ron 44,5 milliards d’eu­ros pour Uber en 2025.

L’amende en repré­sente ainsi envi­ron 1,85 % du chiffre d’affaires annuel mondial de la société (824,99 millions rappor­tés à 44,5 milliards), soit un peu moins de la moitié du maxi­mum encouru.

Il s’agit la deuxième amende la plus élevée jamais pronon­cée sur le fonde­ment du RGPD. C’est surtout la quatrième sanc­tion de l’AP contre Uber, après 600‘000 euros en 2018, 10’000’000 euros en 2023 et 290’000’000 euros en 2024 pour des trans­ferts de données vers les États-Unis, ces deux dernières déci­sions étant encore contes­tées. L’AP souligne au passage que toutes les auto­ri­tés euro­péennes calculent désor­mais les amendes selon la même méthode, gage de prévi­si­bi­lité pour les groupes actifs dans plusieurs États membres.

De son côté, Uber juge l’amende dispro­por­tion­née et conteste que ses proces­sus aient fonc­tionné sans aucune inter­ven­tion humaine. L’entreprise a annoncé un recours, tout en ayant mis fin aux pratiques en cause pendant la procédure.

Les consé­quences pratiques de la décision

Au-delà du cas Uber, la déci­sion vaut aver­tis­se­ment pour toute orga­ni­sa­tion dont les systèmes statuent sans regard humain.

Sa première consé­quence est financière.

L’art. 22 RGPD, long­temps perçu comme une dispo­si­tion d’ap­pli­ca­tion margi­nale, devient un risque de tout premier plan, sanc­tion­nable en pour­cen­tage du chiffre d’af­faires mondial. Le calcul de renta­bi­lité qui condui­sait à auto­ma­ti­ser sans garde-fous, parce que le réexa­men humain coûte cher, s’en trouve inversé.

La deuxième consé­quence tient à la géogra­phie du risque.

Le guichet unique fait qu’une plainte dépo­sée dans n’im­porte quel État membre peut abou­tir à une sanc­tion pronon­cée par l’au­to­rité du pays de l’éta­blis­se­ment prin­ci­pal, coor­don­née avec l’en­semble des auto­ri­tés euro­péennes. Pour un groupe actif dans plusieurs pays, la confor­mité ne se pilote donc pas marché par marché. La faille locale devient une expo­si­tion euro­péenne. Le silence des auto­ri­tés des autres pays n’offre donc aucune garan­tie, puis­qu’une seule plainte, dépo­sée n’im­porte où dans l’Union, suffit à déclen­cher une procé­dure pour l’en­semble du groupe.

La troi­sième consé­quence est organisationnelle.

Le critère déci­sif n’est plus l’exis­tence d’une poli­tique, mais la réalité de l’in­ter­ven­tion humaine, que les auto­ri­tés éprou­ve­ront docu­ments et jour­naux d’activité des systèmes (logs) à l’ap­pui. L’existence d’un simple canal de récla­ma­tion ne suffit pas. Ce qui compte, c’est un examen humain avant que la déci­sion ne produise ses effets.

Et si vos systèmes déci­daient seuls ?

Restent les mesures elles-mêmes. Plusieurs actions permettent de ne pas se retrou­ver dans la situa­tion de la plate­forme, sous le RGPD comme sous la LPD. Elles reprennent, point par point, les manque­ments rete­nus contre Uber et forment moins une liste d’op­tions qu’un test de confor­mité minimal :

1. carto­gra­phier les déci­sions auto­ma­ti­sées, notam­ment inven­to­rier tous les proces­sus où un système tranche sans inter­ven­tion humaine (cf. blocage ou suspen­sion de comptes, refus auto­ma­tisé, attri­bu­tion de scores, etc.) puis quali­fier leurs effets. Dès qu’une déci­sion produit des effets juri­diques ou affecte la personne de manière signi­fi­ca­tive, elle relève de l’art. 22 RGPD ;
2. réin­tro­duire (réel­le­ment) l’hu­main. En ce sens, la personne qui réexa­mine doit dispo­ser de la compé­tence et de l’au­to­rité néces­saires pour la modi­fier, de l’ac­cès aux éléments perti­nents et du temps de les appré­cier. Un opéra­teur qui valide en rafale les propo­si­tions de l’al­go­rithme laisse la déci­sion exclu­si­ve­ment auto­ma­ti­sée. A titre d’illustration, cela suppose concrè­te­ment de mettre en place des files de réexa­men dimen­sion­nées pour être tenables ou encore des contrôles par échan­tillon­nage sur les déci­sions validées ;
3. si l’au­to­ma­ti­sa­tion inté­grale est assu­mée, l’ados­ser à une base et à des garan­ties. Le par. 2 de l’art. 22 RGPD ne l’ad­met que dans trois hypo­thèses : lorsque la déci­sion est néces­saire à la conclu­sion ou à l’exé­cu­tion d’un contrat entre la personne concer­née et le respon­sable du trai­te­ment, lors­qu’elle est auto­ri­sée par le droit de l’Union ou d’un État membre prévoyant des mesures de sauve­garde appro­priées, ou lors­qu’elle repose sur le consen­te­ment expli­cite de la personne. Dans les hypo­thèses du contrat et du consen­te­ment, le par. 3 impose en outre au respon­sable de garan­tir, au mini­mum, le droit d’ob­te­nir une inter­ven­tion humaine de sa part, celui d’ex­pri­mer son point de vue et celui de contes­ter la déci­sion. A cet égard, le droit suisse semble moins prohi­bi­tif, dès lors que l’art. 21 LPD n’in­ter­dit pas la déci­sion auto­ma­ti­sée, mais impose d’en infor­mer la personne concer­née et de lui permettre, sur demande, de faire valoir son point de vue et d’exi­ger une révi­sion par une personne physique, sauf en cas de lien direct avec la conclu­sion ou l’exé­cu­tion d’un contrat dont la demande est satis­faite, ou en cas de consen­te­ment exprès ;
4. infor­mer en deux temps. En amont, les mentions d’in­for­ma­tion doivent révé­ler l’exis­tence de la déci­sion auto­ma­ti­sée, la logique sous-jacente ainsi que l’im­por­tance et les consé­quences du trai­te­ment (art.13 par. 2 let. f RGPD ; art. 21 al. 1 LPD). Au moment de la déci­sion, une noti­fi­ca­tion indi­vi­duelle doit l’ex­pli­quer et indi­quer la voie de réexa­men, en préci­sant les motifs concrets de la déci­sion, les prin­ci­pales données utili­sées, le canal de contes­ta­tion et le délai de réponse. L’ensemble doit rester intel­li­gible pour un non-juriste. L’enjeu n’est pas théo­rique dès lors que le défaut d’in­for­ma­tion consti­tue préci­sé­ment le second manque­ment retenu contre Uber et, côté suisse, l’omis­sion inten­tion­nelle de cette infor­ma­tion est passible d’une amende pénale pouvant atteindre CHF 250’000.- (art. 60 LPD) ;
5. docu­men­ter et éprou­ver le système. Une analyse d’im­pact est requise lorsque le trai­te­ment repose sur une évalua­tion systé­ma­tique et appro­fon­die fondée sur un trai­te­ment auto­ma­tisé (art. 35 par. 3 let. a RGPD). Cette analyse doit ensuite vivre avec le système, ce qui suppose de mesu­rer les taux d’er­reur, de recher­cher d’éven­tuels biais et d’or­ga­ni­ser des revues pério­diques. Surtout, chaque réexa­men humain doit lais­ser une trace car c’est cette docu­men­ta­tion qui, en cas de contrôle, démontre que l’hu­main est bien présent dans la prise de décision ;

Une échéance concrète mérite enfin d’être inscrite à l’agenda. La publi­ca­tion du texte inté­gral de la déci­sion, toujours atten­due à la date de la présente contri­bu­tion, permet­tra d’af­fi­ner la venti­la­tion exacte des manque­ments et le raison­ne­ment suivi sur le montant de l’amende. Affaire à suivre.