Le 24 août 2026
Par Maëva Gomez, Avocate
Le 21 août 2026, l’autorité néerlandaise de protection des données (l’Autoriteit Persoonsgegevens ou AP) a publié un communiqué de presse indiquant avoir infligé, en coopération avec la CNIL, une amende de 824 990 000 euros aux sociétés Uber B.V. et UberTechnologies Inc. En cause : les décisions entièrement automatisées de désactivation des comptes des chauffeurs de la plateforme.
Le cadre légal : l’interdiction de principe de l’article 22 du RGPD
Une décision entièrement automatisée est définie comme « une décision prise à l’égard d’une personne, par le biais d’algorithmes appliqués à ses données personnelles, sans qu’aucun être humain n’intervienne dans le processus ». Le RGPD encadre strictement ces traitements afin d’éviter qu’une personne subisse une décision émanant uniquement d’une machine.
L’article 22 du RGPD pose ainsi un principe : toute personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, dès lors que cette décision produit des effets juridiques la concernant ou l’affecte de manière significative de façon similaire. Une décision affecte une personne de manière significative lorsqu’elle influence son environnement, son comportement ou ses choix, par exemple lorsqu’elle a des conséquences sur sa situation financière.
Une décision entièrement automatisée demeure cependant possible dans 3 hypothèses :
- lorsqu’elle est fondée sur le consentement explicite de la personne ;
- lorsqu’elle est nécessaire à la conclusion ou à l’exécution d’un contrat,
- ou lorsqu’elle est encadrée par des dispositions légales spécifiques.
Toutefois, même dans ces hypothèses, des garanties doivent entourer le traitement : une information renforcée sur l’existence de la décision, la logique sous-jacente et ses conséquences, ainsi qu’un droit à l’intervention humaine permettant à la personne d’obtenir un réexamen, d’exprimer son point de vue et de contester la décision.
A l’origine de la sanction : la plainte de 171 chauffeurs
L’enquête trouve son origine dans la saisine, par 171 chauffeurs français, de la Ligue des droits de l’Homme (LDH). L’association a ensuite porté plainte auprès de la CNIL, au nom des chauffeurs.
Le siège européen d’Uber étant situé aux Pays-Bas, c’est l’autorité néerlandaise qui a conduit l’instruction, en application du mécanisme de coopération entre les autorités européennes. Ce mécanisme désigne une autorité « chef de file », compétente pour mener la procédure de sanction lorsque le traitement est transfrontalier, tout en associant les autres autorités de contrôle concernées à la décision. Tout au long de cette procédure, l’AP a ainsi collaboré étroitement avec la CNIL et harmonisé sa décision avec celles des autres autorités européennes.
Les faits : des désactivations de comptes sans intervention humaine
L’AP a constaté qu’Uber prenait des décisions entièrement automatisées concernant ses chauffeurs. En effet, en cas de suspicion de fraude ou d’avis clients trop négatifs, les comptes des chauffeurs étaient automatiquement désactivés temporairement, voire définitivement en cas de persistance de mauvaises notations. Les chauffeurs concernés subissaient alors une perte de revenus via Uber pendant toute la durée de la désactivation.
Concrètement, Uber utilisait un logiciel pour suivre le comportement de conduite de ses chauffeurs ainsi que les avis clients. Lorsque ce logiciel détectait une suspicion de fraude ou une notation trop basse, le compte du chauffeur était désactivé automatiquement, sans qu’aucune intervention humaine ne soit effectuée. Ces pratiques ont eu lieu entre 2018 et 2022.
Sur ce fondement, l’AP a retenu qu’Uber avait enfreint l’interdiction de principe des décisions entièrement automatisées posée par le RGPD et que la société n’avait pas suffisamment informé ses chauffeurs de l’existence de ce processus de décision automatisé. U
Monique Verdier, vice-présidente de l’AP, a résumé la position de l’autorité en soulignant la gravité des manquements : des chauffeurs se sont retrouvés désactivés sans préavis et, du jour au lendemain, privés de tout revenu perçu via Uber. Elle a également rappelé qu’un ordinateur ne devrait pas prendre seul des décisions aux conséquences aussi lourdes pour les personnes et que de telles décisions auraient dû faire l’objet d’un examen humain préalable.
Le montant de l’amende
Conformément à l’article 83 du RGPD, les amendes prononcées ne peuvent excéder 4 % du chiffre d’affaires annuel mondial de l’entreprise. Uber ayant réalisé un chiffre d’affaires mondial d’environ 44,5 milliards d’euros en 2025, le montant de l’amende retenu de 825 millions d’euros est donc largement inférieur au plafond applicable de 1,78 milliards. Uber a fait appel de cette amende.
Une quatrième sanction néerlandaise
Il s’agit de la quatrième amende infligée par l’AP à Uber. La société avait déjà été sanctionnée à hauteur de 600 000 euros en 2018, de 10 millions d’euros en 2023 pour un manquement à l’information des chauffeurs, puis de 290 millions d’euros en 2024 au titre des transferts de données hors de l’Union européenne. Uber conteste ces deux dernières amendes, dont les procédures sont toujours en cours.
Ce qu’il faut retenir
Cette décision confirme la portée concrète de l’article 22 du RGPD dans l’économie des plateformes. La qualification de décision entièrement automatisée ne suppose pas un algorithme sophistiqué : dès lors qu’une mesure produisant des effets significatifs, telle qu’une déconnexion privant un travailleur de sa source de revenus, est prise sans intervention humaine réelle, les garanties de l’article 22 s’imposent.
Pour les opérateurs recourant à des mécanismes automatiques de suspension, de sanction ou de blocage, trois points de vigilance ressortent : l’existence d’une intervention humaine effective, et non purement formelle ; une information claire des personnes sur l’existence de la décision automatisée et sa logique ; et la mise en place de voies de contestation permettant un réexamen. Le montant de la sanction souligne que ces exigences ne relèvent pas d’une simple formalité de conformité.
Sources
Pour aller plus loin et sécuriser vos pratiques face aux exigences du RGPD, à travers notre expertise nous vous accompagnons dans la mise en conformité et la prévention des risques liés aux données personnelles.
