L’autorité vise notamment des suspensions temporaires liées à des soupçons de fraude et certaines désactivations temporaires ou définitives liées aux évaluations des clients, prises sans véritable intervention humaine. Ces décisions pouvaient empêcher les chauffeurs de travailler et donc affecter directement leurs revenus.
Le dossier illustre concrètement l’article 22 du RGPD : lorsqu’un traitement automatisé produit un effet juridique ou affecte significativement une personne, l’entreprise doit vérifier si elle peut légalement automatiser la décision et, lorsque des garanties humaines sont requises, s’assurer que l’intervention humaine est réelle, autonome et capable de modifier l’issue.
La décision prolonge le raisonnement de la CJUE dans l’arrêt SCHUFA de 2023 : un score ou une évaluation automatisée peut déjà constituer une décision au sens de l’article 22 lorsqu’il joue, en pratique, un rôle déterminant dans le résultat final.
Uber conteste la sanction et a annoncé un recours.
Une sanction de 824,99 millions d’euros issue d’un dossier commencé en 2020
L’affaire trouve son origine dans une plainte collective déposée en France en 2020 par la Ligue des droits de l’Homme pour le compte de plus de 170 chauffeurs Uber, puis complétée en 2021.
La plainte portait sur plusieurs aspects du traitement des données des chauffeurs : leur information, les transferts de données hors de l’Union européenne et les décisions automatisées de désactivation de comptes.
Uber ayant son établissement principal européen aux Pays-Bas, l’Autoriteit Persoonsgegevens, l’autorité néerlandaise de protection des données, a conduit la procédure dans le cadre du mécanisme européen de guichet unique, en coopération notamment avec la CNIL.
Cette affaire a donné lieu à trois volets successifs :
- une amende de 10 millions d’euros concernant notamment l’information des chauffeurs et l’exercice de leurs droits ;
- une amende de 290 millions d’euros concernant des transferts de données de chauffeurs vers les États-Unis ;
- puis, le 21 août 2026, une amende de 824 990 000 euros concernant les décisions individuelles automatisées.
Il est donc plus exact de parler d’un troisième volet sanctionné issu de la même plainte que d’une « troisième sanction Uber » prise isolément.
Le cœur du dossier : peut-on priver un chauffeur de courses sur la seule décision d’un algorithme ?
Le cas est très concret.
Un chauffeur ouvre son application et découvre que son compte est temporairement ou définitivement désactivé.
Cette désactivation peut résulter d’un système de détection de fraude ou, dans certaines hypothèses, de mauvaises évaluations et commentaires laissés par les clients.
Selon l’autorité néerlandaise, certaines de ces décisions étaient prises automatiquement, sans intervention humaine dans le processus décisionnel.
La conséquence est pourtant loin d’être abstraite : lorsqu’un compte est bloqué, le chauffeur ne peut plus utiliser la plateforme pour effectuer des courses et générer des revenus.
C’est précisément ce type de situation que vise l’article 22 du RGPD.
Ce que dit réellement l’article 22 du RGPD
L’article 22 prévoit qu’une personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, lorsqu’elle produit des effets juridiques la concernant ou l’affecte de manière significative de façon similaire.
Le principe connaît des exceptions, notamment lorsque la décision est nécessaire à la conclusion ou à l’exécution d’un contrat, lorsqu’elle est autorisée par le droit de l’Union ou d’un État membre, ou lorsqu’elle repose sur le consentement explicite de la personne.
Ces exceptions ne permettent toutefois pas de considérer la protection comme purement formelle.
Dans certaines hypothèses, l’article 22 impose des garanties appropriées, parmi lesquelles figurent notamment le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision.
La question décisive devient donc : où se situe réellement l’humain dans le processus ?
Un humain dans la boucle ne suffit pas s’il ne peut rien changer
C’est probablement l’enseignement le plus important de la sanction Uber.
Une entreprise ne peut pas nécessairement sécuriser son processus en ajoutant simplement une étape intitulée « revue humaine ».
Selon l’autorité néerlandaise, l’intervention doit être effective.
La personne chargée de la revue doit être capable d’examiner réellement le cas, d’exercer son propre jugement et de modifier l’issue produite par le système.
Un opérateur qui valide presque automatiquement une décision déjà prise, ou qui ne dispose pas du pouvoir de la renverser, risque de n’être qu’une caution humaine de façade.
Pour les directions juridiques, le sujet n’est donc pas seulement documentaire.
Il faut examiner la réalité opérationnelle du workflow :
- qui reçoit l’alerte produite par l’algorithme ?
- quelles informations cette personne peut-elle consulter ?
- dispose-t-elle du temps et de la compétence nécessaires pour réexaminer le dossier ?
- peut-elle décider de maintenir le compte actif ?
- le conducteur peut-il exposer son point de vue ?
- la contestation peut-elle réellement conduire à une autre décision ?
C’est cette capacité de contrôle effectif qui distingue l’assistance à la décision de la décision entièrement automatisée.
L’arrêt SCHUFA avait déjà posé le cadre
La décision s’inscrit dans la continuité de l’arrêt SCHUFA rendu par la Cour de justice de l’Union européenne le 7 décembre 2023 dans l’affaire C-634/21.
SCHUFA calculait automatiquement une valeur de probabilité destinée à évaluer la capacité d’une personne à honorer ses engagements financiers. Cette valeur était ensuite transmise à des entreprises, notamment des établissements de crédit.
La CJUE a jugé qu’un tel scoring pouvait constituer lui-même une décision individuelle automatisée au sens de l’article 22 lorsque les destinataires lui attribuent un rôle déterminant dans leur propre décision.
Le raisonnement est essentiel.
Il ne suffit pas d’ajouter un humain à la fin de la chaîne pour faire disparaître automatiquement l’article 22.
Il faut regarder le pouvoir réel du traitement automatisé sur le résultat.
Autrement dit : l’algorithme conseille-t-il encore, ou a-t-il déjà décidé en pratique ?
Pourquoi l’affaire dépasse largement Uber
Le même raisonnement peut concerner de nombreux processus d’entreprise.
Un système antifraude peut bloquer un client.
Un outil RH peut écarter automatiquement un candidat.
Une marketplace peut suspendre un vendeur.
Un établissement financier peut utiliser un scoring pour refuser une opération.
Un assureur peut automatiser certaines décisions concernant un assuré.
Dans chacun de ces cas, la première question ne devrait pas être seulement : « utilisons-nous de l’intelligence artificielle ? »
Il faut plutôt demander :
- Une personne fait-elle l’objet d’une décision ?
- Cette décision est-elle fondée exclusivement, ou en pratique de manière déterminante, sur un traitement automatisé ?
- Produit-elle un effet juridique ou un effet significatif comparable ?
- Une exception de l’article 22 est-elle applicable ?
- Les garanties requises sont-elles réellement effectives ?
- L’entreprise peut-elle démontrer l’existence d’un véritable pouvoir humain de révision ?
Une question de gouvernance avant d’être une question d’IA
La sanction Uber rappelle une limite importante du débat actuel sur l’IA.
L’article 22 du RGPD existe depuis bien avant l’explosion de l’IA générative.
Une organisation peut donc se trouver en difficulté sans utiliser un modèle génératif spectaculaire. Un moteur de scoring, un système antifraude ou un workflow algorithmique classique peut suffire.
Le risque réside dans la délégation du pouvoir de décision.
La conformité ne consiste donc pas à ajouter la mention « human in the loop » dans une politique interne.
Elle suppose que l’humain puisse réellement comprendre, réexaminer et, lorsque cela est nécessaire, dire non à l’algorithme.
Ce qu’il faut retenir
L’amende de 824,99 millions d’euros contre Uber n’interdit pas l’automatisation des processus.
Elle rappelle que l’automatisation devient juridiquement sensible lorsqu’elle produit seule des conséquences importantes pour une personne.
Pour les entreprises, l’enjeu consiste à cartographier les décisions automatisées avant qu’un contentieux ne révèle leur existence.
La question à poser à chaque workflow est finalement très simple : si l’algorithme se trompe, qui possède réellement le pouvoir de changer sa décision ?
Uber conteste la décision et a annoncé un recours. Le dossier devra donc être suivi dans la durée.
Pourquoi Uber a-t-il été sanctionné de 824,99 millions d’euros ?
L’autorité néerlandaise a considéré que certaines suspensions ou désactivations de comptes de chauffeurs constituaient des décisions individuelles automatisées produisant des effets significatifs, sans intervention humaine suffisante, et que les chauffeurs n’étaient pas suffisamment informés de ces traitements.
Que prévoit l’article 22 du RGPD ?
L’article 22 protège les personnes contre certaines décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, lorsqu’elles produisent des effets juridiques ou les affectent de manière significative de façon similaire.
Une entreprise peut-elle utiliser des décisions automatisées ?
Oui. Le RGPD n’interdit pas toute automatisation. Il encadre certaines décisions entièrement automatisées et prévoit des exceptions et garanties selon les situations.
Que signifie une intervention humaine « effective » ?
L’intervention humaine doit permettre une véritable réévaluation du dossier. La personne chargée du contrôle doit disposer d’une autonomie de jugement et du pouvoir de modifier le résultat du traitement automatisé.
Quel est le lien avec l’arrêt SCHUFA ?
Dans l’arrêt C-634/21 du 7 décembre 2023, la CJUE a jugé qu’un scoring automatisé peut lui-même relever de l’article 22 lorsqu’il joue un rôle déterminant dans la décision prise ensuite par un tiers.