Ce qui s'est passé
Le 10 septembre 2026, l'autorité néerlandaise de protection des données a sanctionné Uber à hauteur de 824 990 000 euros. Entre 2018 et 2022, un logiciel suivait la conduite des chauffeurs et les notes des clients : s'il détectait un soupçon de fraude ou des notes trop basses, il désactivait automatiquement le compte, parfois temporairement et, en cas de notes durablement basses, définitivement. Pendant la désactivation, le chauffeur perdait ses revenus Uber. Il n'y avait pas d'examen humain et les chauffeurs n'étaient pas suffisamment informés. L'affaire part des plaintes de 171 chauffeurs français déposées par la Ligue des droits de l'Homme auprès de la CNIL ; l'autorité néerlandaise l'a instruite car le siège européen d'Uber est aux Pays-Bas. L'EDPB a relayé la décision le 8 octobre.
Uber a mis fin aux manquements et annoncé un recours. L'entreprise soutient que des personnes intervenaient dans les désactivations définitives. C'est la quatrième sanction néerlandaise contre Uber, après 600 000 euros en 2018, 10 millions en 2023 et 290 millions en 2024, et la deuxième amende RGPD la plus élevée après celle de Meta en 2023. Le plafond est de 4 % du chiffre d'affaires mondial : en 2025, Uber a réalisé environ 44,5 milliards.
Pourquoi le problème n'est pas l'algorithme, mais l'absence d'une personne
L'article 22 n'interdit pas d'utiliser un score. Il interdit de laisser le score décider seul lorsque la décision produit des effets juridiques ou affecte la personne de manière significative de façon similaire. Perdre ses revenus du jour au lendemain est exactement ce type d'effet. Les exceptions du paragraphe 2 (contrat, loi, consentement) ne suffisent pas à elles seules : le paragraphe 3 exige toujours le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision.
- L'intervention humaine doit être réelle : une personne ayant l'autorité et la compétence pour changer le résultat, pas quelqu'un qui valide en bloc.
- Elle doit intervenir avant que la décision produise ses effets, pas seulement sous forme de réclamation a posteriori.
- Les notes des clients et les signaux antifraude sont des données personnelles du chauffeur, et les combiner constitue un profilage.
- L'information doit indiquer l'existence d'une décision automatisée, la logique sous-jacente et les conséquences envisagées (art. 13, § 2, f).
- Un système qui suspend automatiquement est un traitement à haut risque : une analyse d'impact est nécessaire avant sa mise en service.
La question à poser à vos clients cette semaine
Existe-t-il un système qui bloque, exclut ou déclasse une personne sans que quelqu'un regarde avant ? Les réponses viennent d'endroits inattendus : le CRM qui suspend un client en retard de paiement, la plateforme qui écarte un fournisseur sous un seuil, le logiciel RH qui bloque un badge après plusieurs anomalies, le filtre qui écarte des CV. Pour chacun, trois éléments écrits : qui revoit la décision, dans quel délai, et comment la personne est informée et peut contester.
L'affaire compte au-delà des Pays-Bas. Elle a été coordonnée avec les autres autorités européennes, la CNIL a travaillé avec l'autorité néerlandaise, et à partir du 2 décembre 2026 la directive sur le travail via une plateforme apporte des règles encore plus strictes sur la supervision humaine des décisions algorithmiques. Mais la décision reste contestée : c'est un signal fort sur la lecture de l'article 22 par les autorités, pas encore du droit établi.
En pratique : dans le registre des traitements, pour chaque traitement qui utilise des scores ou des règles automatiques, une ligne indiquant s'il y a une décision automatisée au sens de l'article 22, quelle exception la justifie et qui la revoit. Si cette ligne manque, c'est la première à écrire : c'est celle qu'une autorité demanderait en premier.
Source officielle:Autoriteit Persoonsgegevens — Uber krijgt boete van bijna 825 miljoen euroSource officielle:EDPB — Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-makingVous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
