Uber face à une amende RGPD de 825 millions d’euros pour ses suspensions automatisées

Dans le cadre du RGPD, une personne ne peut généralement pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé lorsque cette décision produit des effets importants sur sa situation, sans garanties adaptées. Elle doit notamment pouvoir obtenir l’intervention réelle d’un être humain, présenter son point de vue et contester la décision.

Selon le régulateur, la procédure d’Uber ne protégeait pas suffisamment ces droits. Recevoir une notification après une décision prise par un algorithme ne suffit pas si le chauffeur ne peut ni comprendre les raisons de la mesure ni obtenir un réexamen véritablement indépendant.

Pourquoi un simple « humain dans la boucle » ne suffit pas

La distinction essentielle se situe entre un examen humain capable de modifier la décision et une validation de façade. Dans une affaire connexe, la cour d’appel d’Amsterdam avait estimé que les contrôles humains invoqués par Uber étaient essentiellement symboliques, rejetant ainsi l’idée qu’un « humain dans la boucle » suffise à lui seul.

Cette décision permet de comprendre l’enjeu juridique de la sanction actuelle : l’intervention humaine doit pouvoir conduire à une autre conclusion. Elle ne peut pas se réduire à une formalité qui laisse intact le résultat produit par l’algorithme. Les chauffeurs doivent aussi recevoir assez d’informations pour pouvoir contester utilement la mesure.

Ce que les chauffeurs n’auraient pas su

D’après les informations rendues publiques à partir de la décision du régulateur, Uber n’aurait pas suffisamment informé les chauffeurs concernés du recours à des processus automatisés pour suspendre ou désactiver leur compte. Cette opacité avait des conséquences concrètes : sans savoir comment la décision avait été prise ni ce qui l’avait déclenchée, les intéressés ne pouvaient pas défendre efficacement leur situation.

Le dossier comporte donc deux volets liés :

• Le volet décisionnel : des traitements automatisés pouvaient produire des effets considérables sans intervention humaine suffisante.
• Le volet transparence : les chauffeurs n’étaient pas informés de manière adéquate de l’existence de ces processus et de leurs conséquences.

Autrement dit, le RGPD impose de s’intéresser à la fois à la décision finale et au chemin qui y mène. Lorsqu’un système automatisé menace les revenus d’une personne, l’entreprise doit expliquer la mesure prise et permettre un véritable recours.

Pourquoi l’autorité néerlandaise a traité une plainte venue de France

La plainte initiale provenait de France, mais la procédure transfrontalière a été menée par l’AP parce qu’Uber a établi son siège européen aux Pays-Bas. Dans le cadre du mécanisme dit du « guichet unique » du RGPD, l’autorité du pays où une entreprise possède son établissement principal dans l’Union européenne prend généralement la tête des dossiers transfrontaliers, tandis que les autres autorités concernées peuvent y participer.

Ce système vise à éviter qu’une multinationale fasse l’objet d’enquêtes principales entièrement distinctes dans chaque pays européen où ses pratiques ont des effets. Il explique aussi pourquoi une plainte déposée par des chauffeurs français peut aboutir à une décision néerlandaise.

La réponse d’Uber

Uber a annoncé son intention de faire appel, jugeant la décision et le montant de l’amende disproportionnés. L’entreprise affirme proposer un examen humain ainsi qu’une possibilité de contester les suspensions. Elle soutient également que les suspensions liées à des soupçons de fraude étaient temporaires et nie avoir désactivé définitivement des comptes sur la seule base d’un traitement automatisé.

Uber affirme par ailleurs qu’elle ne prend plus de décision de désactivation permanente reposant uniquement sur des systèmes automatisés. Ces éléments correspondent à la position de l’entreprise ; la sanction porte sur les pratiques examinées pour la période concernée, principalement entre 2020 et 2022.

Un avertissement pour la gestion algorithmique du travail

Cette affaire illustre la montée en puissance d’un nouvel enjeu européen : la gestion algorithmique des travailleurs. Les outils concernés ne servent pas seulement à recommander des publicités ou à trier des données clients. Ils peuvent déterminer si une personne conserve ou non l’accès à une plateforme dont elle tire ses revenus.

La leçon de conformité est claire : une politique prévoyant une « vérification humaine » risque de ne pas suffire si les examinateurs ne peuvent pas étudier les faits de façon indépendante, entendre les explications de la personne concernée et annuler la décision automatisée. Les entreprises qui utilisent des systèmes automatisés pour recruter des travailleurs, détecter des fraudes, limiter l’accès à un compte ou désactiver celui-ci doivent intégrer la transparence et la possibilité de contestation dès que ces outils affectent les moyens de subsistance d’une personne.

La sanction s’inscrit aussi dans l’historique plus large d’Uber en matière de RGPD aux Pays-Bas. En 2024, l’autorité néerlandaise avait infligé séparément à l’entreprise une amende de 290 millions d’euros pour le transfert vers les États-Unis de données personnelles de chauffeurs européens. L’amende de 1,2 milliard d’euros visant Meta concernait, elle, le transfert de données d’utilisateurs européens de Facebook vers les États-Unis, et non la gestion de travailleurs.

Pour l’instant, les 825 millions d’euros restent soumis à la procédure d’appel d’Uber. Mais le message de fond est déjà posé : au regard du RGPD, la gestion automatisée ne peut pas devenir une boîte noire lorsque ses décisions risquent de priver quelqu’un de la possibilité de travailler.