art. 22 RGPD — décision individuelle automatisée, y compris le profilage : interdiction de principe, trois exceptions (contrat, droit de l'Union ou d'un État membre, consentement explicite) et garanties minimales (intervention humaine, expression du point de vue, contestation)art. 4, 4) — définition du profilageart. 13, §2, f), art. 14, §2, g), art. 15, §1, h) — information et droit d'accès sur « la logique sous-jacente » et les conséquences prévuesart. 56 et art. 60 — autorité chef de file et coopération (guichet unique)art. 83, §5 — jusqu'à 20 M€ ou 4 % du chiffre d'affaires annuel mondialdir. (UE) 2024/2831, art. 7 à 11 — gestion algorithmique du travail via plateforme ; transposition attendue au 2 décembre 2026C-634/21, SCHUFA, 7 déc. 2023 — un score peut être lui-même la décision automatiséeC-203/22, Dun & Bradstreet Austria, 27 fév. 2025 — étendue de l'explication due, face au secret des affairesLe 24 août 2026, la CNIL a rendu publique une sanction prononcée par l'Autoriteit Persoonsgegevens (AP), autorité néerlandaise de protection des données, contre UBER B.V. (Amsterdam) et UBER TECHNOLOGIES INC. (San Francisco) : 824 990 000 €, soit la deuxième plus lourde amende jamais infligée au titre du RGPD.
En cause : entre 2018 et 2022, la désactivation temporaire du compte d'un chauffeur en cas de suspicion de fraude, et la désactivation temporaire ou définitive en cas de notation client jugée trop basse. L'AP retient l'absence totale d'intervention humaine dans le processus de décision, et une information insuffisante des chauffeurs. Effet : compte bloqué, plus de courses, plus de revenu.
Le dossier est aussi français. En 2020, la Ligue des droits de l'Homme a saisi la CNIL d'une plainte collective pour plus de 170 chauffeurs — information, transferts hors UE, déconnexions automatisées —, complétée en 2021. L'établissement principal d'Uber étant aux Pays-Bas, l'AP était autorité chef de file ; la CNIL a coopéré aux contrôles, à l'analyse des preuves et à l'examen du projet de décision.
C'est la quatrième amende de l'AP contre Uber : 600 000 € en 2018, 10 M€ le 11 décembre 2023 (information des chauffeurs), 290 M€ le 22 juillet 2024 (transferts hors UE), puis celle-ci. Uber a annoncé faire appel, jugeant la sanction disproportionnée, contestant l'automatisation des désactivations définitives et faisant valoir que ses pratiques ont changé depuis. La décision n'est donc pas définitive.
Jusqu'ici, l'article 22 était l'un des articles les moins sanctionnés du RGPD : beaucoup d'entreprises considéraient qu'un opérateur pouvant « revoir le dossier » suffisait à échapper à l'interdiction. Cette décision déplace la démonstration : ce n'est pas l'existence théorique d'un humain qui compte, c'est la preuve — journalisée, datée, traçable — qu'un humain compétent a examiné le cas et pouvait renverser la sortie du modèle. Autrement dit, un point de conformité juridique devient un point de contrôle d'architecture : où est le human-in-the-loop dans le pipeline, quelle latence, quel taux réel d'infirmation, quelles traces ?
Le montant, adossé au chiffre d'affaires mondial du groupe (art. 83, §5), fait de la gestion algorithmique un risque financier de premier rang, bien au-delà des plateformes VTC : scoring bancaire, détection de fraude, modération et suspension de comptes, tri de candidatures, résiliation automatique. Et le calendrier s'accélère : la directive (UE) 2024/2831 doit être transposée d'ici au 2 décembre 2026 et imposera, pour le travail via plateforme, transparence des systèmes automatisés, supervision humaine et voies de recours. Le débat suivant est déjà posé par la CJUE dans Dun & Bradstreet : jusqu'où faut-il expliquer sans livrer le modèle — et à qui.