Une amende de 824,99 millions d’euros vient de frapper Uber pour ses décisions automatisées concernant les chauffeurs. Derrière ce montant spectaculaire, le dossier pose une question qui dépasse largement le cas de la plateforme : jusqu’où une entreprise peut-elle laisser un algorithme décider à la place d’un humain lorsqu’une décision peut priver quelqu’un de son activité et de ses revenus ?
- Le montant donne immédiatement le vertige : 824.990.000 euros. Le 21 août 2026, l’autorité néerlandaise de protection des données a sanctionné Uber B.V. et Uber Technologies Inc. pour avoir pris certaines décisions individuelles automatisées concernant les chauffeurs de sa plateforme.
- La CNIL a travaillé avec son homologue néerlandais tout au long de la procédure.
- Pour Uber, l’affaire ne se limite donc pas à une nouvelle sanction liée aux données personnelles. Elle touche au fonctionnement même de certains mécanismes utilisés par la plateforme pour contrôler l’activité des chauffeurs.
Quand un algorithme peut couper l’accès au travail
Le point central du dossier concerne les désactivations automatiques des comptes des chauffeurs.
Selon l’autorité néerlandaise, certaines situations déclenchaient une désactivation sans intervention humaine. C’était notamment le cas lorsqu’une suspicion de fraude était détectée. Les comptes pouvaient également être temporairement ou définitivement désactivés en raison d’une notation jugée trop basse par les clients.
Le problème identifié par les autorités tient précisément à cette absence totale d’intervention humaine.
Pour un chauffeur, le blocage d’un compte Uber n’est pas une simple restriction d’accès à une application. Il peut signifier l’impossibilité de réaliser des courses et donc de générer des revenus. La décision automatisée produit ainsi des conséquences significatives sur la situation professionnelle de la personne concernée.
C’est cette dimension qui donne au dossier une portée bien plus large que le seul fonctionnement technique d’une plateforme numérique.
Le RGPD encadre aussi les décisions prises par les algorithmes
Le règlement général sur la protection des données ne concerne pas uniquement les fichiers clients, les newsletters, les cookies ou les données collectées sur un site internet.
Son article 22 encadre également les décisions individuelles entièrement automatisées, notamment lorsqu’elles produisent des effets juridiques ou affectent significativement une personne.
Cette disposition prend une importance particulière avec la multiplication des outils capables d’analyser automatiquement des données et de recommander, classer ou déclencher des décisions.
Dans le cas d’Uber, l’autorité néerlandaise a considéré que les désactivations concernées entraient dans le champ des décisions individuelles automatisées. Le chauffeur pouvait donc subir une conséquence importante sans qu’un humain intervienne réellement dans le processus de décision.
Pour les entreprises qui utilisent des logiciels de scoring, de détection de fraude, de recrutement ou d’évaluation, le message mérite d’être regardé de près.
Ce que les entreprises doivent retenir de l’affaire Uber
Le dossier ne signifie évidemment pas que toute automatisation est interdite.
Une entreprise peut utiliser des algorithmes pour analyser des informations, détecter des anomalies, classer des dossiers ou assister ses collaborateurs. Le point de vigilance apparaît lorsque le système prend lui-même une décision susceptible d’avoir une conséquence importante sur une personne.
La différence est loin d’être théorique.
Un logiciel qui signale qu’un dossier présente un risque n’est pas nécessairement dans la même situation qu’un logiciel qui décide automatiquement de suspendre un salarié, de refuser une candidature, de bloquer un compte ou de mettre fin à l’accès à un service.
Dans le second cas, la question de l’intervention humaine devient beaucoup plus sensible.
Une affaire qui remonte à une plainte de plus de 170 chauffeurs
Le dossier ne date pas d’hier.
En 2020, la CNIL avait été saisie d’une plainte collective déposée par la Ligue des droits de l’Homme, représentant plus de 170 chauffeurs Uber. La plainte avait ensuite été complétée en 2021 et portait notamment sur l’information des personnes, les transferts de données personnelles hors de l’Union européenne et les décisions automatisées de désactivation des comptes.
L’affaire a déjà donné lieu à deux précédentes sanctions.
Le 11 décembre 2023, l’autorité néerlandaise avait infligé à Uber une première amende de 10 millions d’euros, notamment pour des manquements à l’information des chauffeurs.
Puis, le 22 juillet 2024, une nouvelle sanction de 290 millions d’euros avait été prononcée concernant des transferts de données hors de l’Union européenne.
La sanction annoncée en août 2026 constitue donc un nouvel épisode d’une procédure particulièrement longue.
Pourquoi la CNIL intervient-elle dans une sanction néerlandaise ?
Uber étant établi principalement aux Pays-Bas pour les besoins de cette procédure, l’autorité néerlandaise de protection des données était compétente pour mener les investigations.
Mais le RGPD prévoit des mécanismes de coopération entre les autorités européennes lorsqu’un traitement de données concerne plusieurs pays.
La CNIL indique avoir travaillé étroitement avec son homologue néerlandais pendant les contrôles, l’analyse des éléments recueillis et l’examen du projet de décision dans le cadre de la procédure dite du guichet unique.
Pour les entreprises françaises opérant dans plusieurs pays européens, cette dimension est importante : la protection des données ne s’arrête pas aux frontières nationales et une procédure peut mobiliser plusieurs autorités.
Le montant de la sanction doit-il inquiéter les petites entreprises ?
Une TPE n’est évidemment pas Uber et ne dispose ni des mêmes volumes de données ni des mêmes moyens technologiques.
Il serait donc trompeur de laisser penser qu’une petite entreprise risque mécaniquement une amende de plusieurs centaines de millions d’euros.
En revanche, le principe juridique concerne bien toutes les organisations qui traitent des données personnelles.
La CNIL rappelle d’ailleurs régulièrement que les entreprises de toutes tailles peuvent être sanctionnées pour des manquements au RGPD. En 2025, elle a prononcé 83 sanctions pour un montant cumulé de 486,84 millions d’euros. Les principaux sujets comprenaient notamment les cookies, la surveillance des salariés et la sécurité des données.
Depuis 2026, la CNIL continue également à sanctionner des entreprises pour des manquements beaucoup plus classiques : vidéosurveillance excessive, cookies, défaut de coopération ou non-respect des droits des personnes.
Pour une petite entreprise, le sujet est donc moins le montant exceptionnel infligé à Uber que la nécessité de savoir précisément ce que fait son logiciel avec les données personnelles et qui prend réellement la décision finale.
Avec l’IA, la question devient encore plus sensible
Le dossier Uber arrive également à un moment où les entreprises déploient de plus en plus d’outils utilisant l’intelligence artificielle.
Recrutement, détection de fraude, relation client, analyse des performances, gestion des accès ou évaluation des risques : les systèmes automatisés interviennent désormais dans de nombreux processus.
La tentation peut être forte de confier au logiciel une partie toujours plus importante de la décision.
Or l’affaire Uber rappelle une règle simple : automatiser un processus ne fait pas disparaître les obligations liées aux droits des personnes.
Un algorithme peut calculer plus vite qu’un humain. Il ne dispense pas pour autant l’entreprise de s’interroger sur les conséquences de la décision qu’il produit.
Pour les dirigeants, trois questions à se poser
Avant de déployer un outil qui analyse ou classe automatiquement des personnes, une entreprise peut utilement vérifier trois points.
- Première question : le logiciel formule-t-il une recommandation ou prend-il réellement la décision ?
- Deuxième question : cette décision peut-elle avoir une conséquence importante pour la personne concernée ?
- Troisième question : un humain peut-il réellement intervenir, examiner la situation et remettre en cause la décision automatisée ?
Ces questions deviennent particulièrement importantes lorsque l’outil intervient dans les ressources humaines, l’accès à un service, la lutte contre la fraude ou l’évaluation d’une personne.
L’affaire Uber montre en tout cas que le RGPD ne regarde pas seulement les données que l’entreprise possède : il s’intéresse aussi à ce qu’elle en fait et aux décisions qu’elle prend à partir de ces données.
Et avec l’essor de l’intelligence artificielle et des systèmes automatisés, cette question risque de devenir de plus en plus présente dans les entreprises.
Source : CNIL, décision annoncée le 24 août 2026.