[Mise à jour #90]
L’autorité néerlandaise de protection des données a infligé à Uber une amende de 824,99 millions d’euros. Seule la sanction de 1,2 milliard d’euros infligée à Meta Ireland en 2023 dépasse ce montant dans toute l’histoire du RGPD depuis son entrée en application. Motif de la sanction : entre 2018 et 2022, des comptes de chauffeurs ont été suspendus ou désactivés par des systèmes purement automatisés, en cas de soupçon de fraude ou de notes jugées trop basses, sans qu’un être humain n’intervienne réellement dans la décision finale. Une affaire qui trouve pourtant son origine ailleurs qu’aux Pays-Bas : en France, et dans la détermination d’un chauffeur qui a refusé d’accepter une décision sans explication.
L’origine de l’affaire : un chauffeur français qui refuse le silence
Tout commence en 2019, quand Brahim Ben Ali, chauffeur pour Uber en France, perd l’accès à son compte sans qu’aucun motif ne lui soit communiqué. Au lieu de laisser filer, il entreprend de recenser des cas similaires auprès de dizaines d’autres chauffeurs confrontés au même silence. Ce travail de collecte débouche, en 2020, sur une plainte collective portée par la Ligue des droits de l’Homme pour le compte de ces chauffeurs, une action complétée l’année suivante. Uber ayant établi son siège européen à Amsterdam, c’est l’autorité néerlandaise qui hérite naturellement du dossier, en application du mécanisme européen qui confie l’instruction d’une plainte au régulateur du pays où une entreprise a fixé son établissement principal dans l’Union.
Ce que le régulateur reproche précisément à Uber
Le cœur du problème s’appuie sur une disposition précise du RGPD, son article 22 : toute personne peut s’opposer à ce qu’une décision produisant des effets significatifs sur sa vie repose uniquement sur un traitement automatique, sans intervention humaine réelle pour l’examiner. Or, selon l’enquête néerlandaise, c’est exactement ce qui s’est produit chez Uber : un algorithme évaluait le comportement, les courses et les notes d’un chauffeur, et pouvait seul déclencher sa suspension ou son exclusion. Pour la personne concernée, la conséquence tombe immédiatement : plus aucune course possible, donc plus aucun revenu. Monique Verdier, vice-présidente de l’autorité néerlandaise, a résumé le principe en une formule simple : « Un ordinateur ne doit pas prendre seul des décisions aux conséquences aussi lourdes. »
Un montant calculé au plafond légal, et une troisième sanction en trois ans
Le montant de l’amende n’a rien d’arbitraire. Le RGPD autorise les régulateurs à sanctionner jusqu’à 4% du chiffre d’affaires mondial annuel d’une entreprise pour ce type de manquement ; appliqué aux quelque 44,5 milliards d’euros générés par Uber en 2025, ce plafond correspond précisément aux 824,99 millions d’euros retenus. Ce n’est pas non plus la première fois qu’Uber croise la route du régulateur néerlandais : une amende de 10 millions d’euros avait déjà sanctionné, fin 2023, un défaut d’information des chauffeurs, suivie d’une amende de 290 millions d’euros mi-2024 pour des transferts de données hors de l’Union européenne. En additionnant ces trois décisions, la facture cumulée d’Uber auprès du seul régulateur néerlandais franchit désormais le seuil de 1,1 milliard d’euros. L’entreprise conteste fermement cette dernière sanction, la juge disproportionnée, et prévoit de faire appel : elle affirme que ses procédures actuelles incluent bien des revues humaines et permettent aux chauffeurs de contester une suspension, contredisant l’idée que les désactivations définitives auraient été entièrement automatisées.
Ce que ça change pour toutes les entreprises qui utilisent des algorithmes
Plusieurs cabinets d’avocats ont déjà commencé à tirer les leçons de cette affaire pour leurs propres clients, bien au-delà du seul secteur des VTC. Ce précédent ne remet pas en cause le principe même de l’automatisation : rien n’interdit à une entreprise de s’appuyer sur des algorithmes pour traiter une partie de son activité. Ce qui devient risqué, en revanche, c’est de laisser cette automatisation aller jusqu’au bout de la chaîne, sans qu’un regard humain n’intervienne, dès lors que la décision finale peut couper les revenus, l’accès à un service ou une opportunité professionnelle de quelqu’un. Concrètement, toute organisation qui suspend un compte, filtre une candidature ou déclenche un contrôle antifraude à partir de données personnelles est directement concernée par ce précédent.
Ce qu’il faut retenir
Cette affaire fixe une ligne claire sur un terrain resté flou jusqu’ici : la gestion algorithmique des travailleurs des plateformes n’est plus un angle mort du droit européen. Le fait que la procédure parte d’un chauffeur français isolé, capable de mobiliser des dizaines de collègues et de saisir la bonne autorité, montre aussi qu’un recours individuel bien organisé peut aboutir, même face à une multinationale et sept ans de procédure.
Reste qu’Uber conteste la décision et compte faire appel, ce qui laisse la porte ouverte à une révision du montant, voire du principe retenu. Mais indépendamment de l’issue de ce recours, le signal envoyé à l’ensemble des plateformes qui automatisent des décisions à fort impact humain est déjà posé : un algorithme peut trier, filtrer, recommander — mais dès qu’il prive quelqu’un de son gagne-pain sans contrôle humain réel, l’addition risque d’être salée.
Sources : CNIL, “Décisions automatisées : sanction de près de 825 millions d’euros à l’encontre d’UBER” (communiqué officiel) — Presse-Citron, “‘Licenciés’ par un algorithme : pourquoi Uber va devoir payer 825 millions d’euros” — L’Usine Digitale, “Uber écope d’une amende de 825 millions d’euros pour avoir laissé ses algorithmes décider seuls du sort des chauffeurs” — Clubic, “Uber a écopé d’une énorme amende en Europe pour avoir laissé des algorithmes décider seuls du sort de ses chauffeurs” — Le Temps, “Uber sanctionné pour ‘licenciement par algorithme’” — Économie Matin, “Uber licencie par algorithme, la CNIL sanctionne lourdement” — Entreprisma, “Uber sanctionné à 825 M€ aux Pays-Bas : le RGPD frappe les décisions automatisées” — Maître Reda Kohen (avocat), “Amende Uber de 825 millions : que doit vérifier une entreprise avant de désactiver, classer ou refuser un utilisateur par algorithme ?”
Level 50, la mise à jour pour rester connecté.