Afficher le sommaire Masquer le sommaire
- Ce que l’autorité néerlandaise a sanctionné
- Ce que l’article 22 du RGPD interdit
- Pourquoi une autorité néerlandaise a instruit un dossier français
- Comment le montant de l’amende se calcule
- Une quatrième sanction depuis 2018
- Les droits d’une personne face à une décision entièrement automatisée
- Une décision qui n’est pas définitive
Un logiciel repère une note trop basse ou un soupçon de fraude, et le compte du chauffeur est désactivé. Aucune personne n’a examiné le dossier. Ce type de mécanisme porte un nom en droit européen : la décision individuelle automatisée, c’est-à-dire une décision produite par un traitement de données sans intervention humaine et qui affecte de manière significative la personne concernée.
L’autorité néerlandaise de protection des données a prononcé le 21 août 2026 une amende de 824 990 000 € contre les sociétés Uber B.V. et Uber Technologies Inc. pour avoir désactivé ainsi les comptes de chauffeurs de sa plateforme. La CNIL, saisie à l’origine du dossier, a annoncé cette décision le 24 août 2026. Au-delà du montant, la sanction éclaire une question qui dépasse largement les plateformes de transport : jusqu’où une machine peut-elle décider seule de quelque chose qui vous concerne ?
Ce que l’autorité néerlandaise a sanctionné
Uber utilisait un logiciel qui suivait le comportement de conduite et les notes attribuées par les clients. En cas de soupçon de fraude, le compte était temporairement désactivé ; en cas de notes durablement basses, la désactivation pouvait devenir définitive. Aucune évaluation humaine n’intervenait dans ce processus, selon les constatations de l’autorité.
À lireIncendies : le décret du 17 septembre 2026 prolonge l’aide à l’activité partielle jusqu’au 4 octobreLes faits reprochés courent de 2018 à 2022. Pendant la désactivation, les chauffeurs concernés perdaient tout revenu tiré de la plateforme, ce qui constitue précisément l’effet significatif visé par le droit européen. L’autorité relève par ailleurs qu’Uber n’informait pas suffisamment les chauffeurs de l’existence de ces décisions automatiques.
La société a mis fin aux pratiques en cause. La sanction porte donc sur une période close, ce qui n’enlève rien à sa portée : elle fixe une lecture de la règle applicable à tous les responsables de traitement établis dans l’Union.
Ce que l’article 22 du RGPD interdit
Le règlement général sur la protection des données pose un principe simple, énoncé à son article 22, dont le champ mérite d’être décrit précisément. Il vise les décisions qui réunissent trois caractéristiques cumulatives :
- elles sont fondées exclusivement sur un traitement automatisé, y compris le profilage ;
- elles produisent des effets juridiques à l’égard de la personne, ou l’affectent de manière significative de façon similaire ;
- elles concernent une personne physique identifiée ou identifiable.
Le texte prévoit des exceptions, notamment lorsque la décision est nécessaire à un contrat ou fondée sur le consentement explicite de la personne. Même dans ces cas, des garanties doivent être mises en place, au premier rang desquelles la possibilité d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision.
La désactivation d’un compte professionnel entre sans difficulté dans ce périmètre, puisqu’elle coupe une source de revenus. Reste à savoir pourquoi c’est une autorité étrangère qui a instruit un dossier ouvert en France.
Pourquoi une autorité néerlandaise a instruit un dossier français
Le RGPD organise un mécanisme dit de guichet unique. Lorsqu’une entreprise traite des données dans plusieurs États membres, c’est l’autorité du pays où se trouve son établissement principal qui mène l’enquête, en coopération avec les autres. Le siège européen d’Uber étant aux Pays-Bas, l’autorité néerlandaise était compétente.
À lireBail d’habitation : ce que changent les contrats types du décret du 6 juillet 2026 au 1er octobreL’affaire a pourtant commencé en France. En 2020, la CNIL a été saisie d’une plainte collective de la Ligue des droits de l’Homme, agissant pour 171 chauffeurs, plainte complétée en 2021. La CNIL a coopéré tout au long de la procédure, lors des contrôles puis de l’examen du projet de décision, et a informé les plaignants du résultat, comme le prévoit le règlement. Le montant retenu, lui, obéit à une méthode commune.
Comment le montant de l’amende se calcule
Les régulateurs européens appliquent une méthode de calcul harmonisée. Le plafond légal est fixé à 4 % du chiffre d’affaires annuel mondial de l’entreprise, ce qui rend le montant proportionnel à la taille de l’acteur sanctionné et non à celle du dommage individuel.
Uber a réalisé un chiffre d’affaires mondial d’environ 44,5 milliards d’euros en 2025. L’amende de 824 990 000 € représente donc moins de 2 % de ce chiffre d’affaires, soit une position nettement en deçà du plafond théorique.
Ce mode de calcul explique l’écart entre les sanctions prononcées contre de grands groupes et celles qui frappent, pour des manquements comparables, des entreprises de taille modeste. La série de décisions visant Uber en offre une illustration.
Une quatrième sanction depuis 2018
L’autorité néerlandaise avait déjà sanctionné Uber à trois reprises : 600 000 € en 2018, puis 10 millions d’euros le 11 décembre 2023 pour un défaut d’information des chauffeurs, puis 290 millions d’euros le 22 juillet 2024 pour des transferts de données hors de l’Union européenne. Les trois griefs portent sur le même dossier de plainte, instruit par volets successifs.
À lireLivreurs indépendants : la garantie minimale de revenus passe à 19 € de l’heure, calculée chaque semaineCette progression du montant traduit aussi une montée en puissance de la coopération entre régulateurs, dont on retrouve la trace dans d’autres champs comme le consentement préalable au démarchage téléphonique. Les deux dernières amendes font l’objet de procédures encore pendantes.
Les droits d’une personne face à une décision entièrement automatisée
Un particulier rencontre ce type de mécanisme plus souvent qu’il ne le croit : refus de crédit calculé par un score, résiliation automatique d’un compte, filtrage d’une candidature. Le droit européen ne les interdit pas tous, mais il impose que la personne puisse demander un réexamen humain dès lors que la décision produit sur elle un effet important.
Un ordinateur ne devrait pas prendre seul des décisions qui ont des conséquences importantes pour vous. Ces décisions auraient dû être examinées d’abord par un être humain.
Monique Verdier, vice-présidente de l’Autoriteit Persoonsgegevens, communiqué de l’autorité néerlandaise de protection des données du 21 août 2026
Le RGPD ouvre plusieurs voies à la personne qui s’estime lésée : demander l’intervention humaine auprès de l’organisme, exercer son droit d’accès pour comprendre la logique du traitement, puis saisir la CNIL. Ces mêmes leviers sont les recours ouverts aux personnes concernées lorsqu’un incident touche leurs données, comme l’ont montré les données exposées du service Bloctel. La charge de démontrer la conformité pèse sur l’organisme, pas sur la personne.
Une décision qui n’est pas définitive
Uber a formé un recours contre cette amende, comme pour les deux précédentes. Les montants annoncés ne sont donc pas acquis : ils pourront être confirmés, réduits ou annulés au terme des procédures, dont l’issue reste ouverte. Le raisonnement juridique, lui, est déjà public et sert de repère aux entreprises comme aux personnes concernées.
La question que soulève ce dossier dépasse la situation des chauffeurs de plateforme. Elle porte sur la place que les organismes accordent à l’examen humain quand une décision automatisée prive quelqu’un de ses moyens d’existence, et sur la capacité des régulateurs à la faire respecter à l’échelle du continent. Pour contester une décision automatisée qui vous concerne ou évaluer un recours, un avocat exerçant en protection des données est le professionnel compétent pour examiner la situation.