# Brief — Un logiciel coupait le compte, aucun humain ne relisait : 824 990 000 € d'amende pour Uber, sur une plainte de plus de 170 chauffeurs français

**Thème : données personnelles et décisions algorithmiques — article 22 du RGPD, absence d'intervention humaine dans la désactivation de comptes, guichet unique et articulation avec la directive sur le travail via une plateforme**

**Mots-clés :** #rgpd #cnil #uber #decision-automatisee #travail-de-plateforme #sanction #cjue

Le **21 août 2026**, l'**Autoriteit Persoonsgegevens** — l'homologue néerlandaise de la CNIL — a prononcé contre **UBER B.V.** et **UBER TECHNOLOGIES INC.** une amende de **824 990 000 euros**, que la CNIL a relayée dans un communiqué du **24 août**. L'origine est française : en **2020**, la CNIL est saisie d'une plainte collective de la **Ligue des droits de l'Homme** représentant **plus de 170 chauffeurs** VTC, complétée en 2021, et portant sur l'information des personnes, les transferts hors Union européenne et les déconnexions temporaires ou définitives. Uber ayant son établissement principal à Amsterdam, le mécanisme du **guichet unique** (articles 56 et 60 du RGPD) confie l'instruction à l'autorité néerlandaise, la CNIL coopérant « étroitement » au moment des contrôles, de l'analyse des preuves et de l'examen du projet de décision. C'est la **troisième** sanction du même dossier, après **10 millions d'euros** le 11 décembre 2023 pour des manquements à l'information des chauffeurs, et **290 millions** le 22 juillet 2024 pour des transferts de données vers les États-Unis.

Le manquement retenu cette fois n'est ni une fuite, ni un défaut de chiffrement, ni un transfert illicite : c'est une **architecture de décision**. De **2018 à 2022**, un logiciel surveillait le comportement des chauffeurs au volant et analysait les avis clients ; en cas de **soupçon de fraude** (désactivation temporaire) ou de **notation trop basse** (désactivation temporaire puis définitive), le compte était coupé **sans aucune intervention humaine dans le processus de décision**. L'autorité y voit des décisions individuelles automatisées au sens de l'**article 22 du RGPD**, dont l'effet est significatif puisque, compte bloqué, le chauffeur ne peut plus effectuer de courses ni générer de revenus ; elle relève en outre, selon la décision formelle non encore publiée, une atteinte au droit d'être pleinement informé de ces décisions — le terrain des articles **13, §2, f)** et **15, §1, h)**. « Un ordinateur ne devrait pas prendre de lui-même des décisions qui ont des conséquences majeures pour vous », résume **Monique Verdier**, vice-présidente de l'autorité. Le manquement relève du plafond haut de l'**article 83, §5** : 20 millions d'euros ou **4 % du chiffre d'affaires annuel mondial**. **Uber a annoncé faire appel**, qualifiant la sanction de disproportionnée et visant des politiques « abandonnées il y a des années » : rien n'est donc définitivement jugé.

Pour qui construit ou audite des systèmes, la leçon est opérationnelle. Depuis l'arrêt **C-634/21, *SCHUFA*** du **7 décembre 2023**, l'article 22 pose une **interdiction de principe** que le responsable de traitement doit respecter de lui-même, sans attendre une réclamation, et la qualification d'« exclusivement automatisée » résiste à l'humain de façade : un validateur qui entérine systématiquement la sortie du modèle ne rompt pas la chaîne. La conformité se démontre donc dans le **graphe d'exécution** — qui peut interrompre le pipeline, avec quelle autorité, sur quelles informations, en combien de temps, et avec quelle trace — plutôt que dans une politique de confidentialité. Une échéance vient s'y ajouter : la **directive (UE) 2024/2831** sur l'amélioration des conditions de travail dans le cadre du travail via une plateforme, dont le chapitre consacré à la **gestion algorithmique** (articles 7 à 11) impose qu'une décision de limiter, suspendre ou résilier le compte d'un travailleur de plateforme soit prise par un **être humain**, et dont la transposition est due le **2 décembre 2026** en vertu de son article 29. La même conduite basculera alors du seul terrain de la protection des données vers celui du droit du travail — avec d'autres juges et d'autres délais.

## Sources

- [CNIL — « Décisions automatisées : sanction de près de 825 millions d'euros à l'encontre d'UBER », 24 août 2026](https://www.cnil.fr/fr/decisions-automatisees-sanction-de-pres-de-825-millions-deuros-lencontre-duber)
- [Autoriteit Persoonsgegevens — « Uber fined nearly 825 million euros for automated driver blocking »](https://www.autoriteitpersoonsgegevens.nl/en/current/uber-fined-nearly-825-million-euros-for-automated-driver-blocking)
- [CNIL — Article 22 du RGPD (décision individuelle automatisée, y compris le profilage), chapitre III](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3)
- [CNIL — « Profilage et décision entièrement automatisée »](https://www.cnil.fr/fr/profilage-et-decision-entierement-automatisee)
- [CNIL — « Vos droits : l'intervention humaine face à votre profilage ou à une décision automatisée »](https://www.cnil.fr/fr/vos-droits-lintervention-humaine-face-votre-profilage-ou-une-decision-automatisee)
- [CNIL — Le guichet unique et la coopération avec les autorités de contrôle européennes](https://www.cnil.fr/fr/la-cooperation-avec-les-autorites-de-controle-europeennes)
- [CNIL — Le mécanisme de coopération et de cohérence européen du RGPD](https://www.cnil.fr/fr/la-cnil-en-europe/le-mecanisme-de-cooperation-et-de-coherence-europeen-du-rgpd)
- [CNIL — « Transferts de données hors UE : sanction de 290 millions d'euros à l'encontre d'UBER » (22 juillet 2024)](https://www.cnil.fr/fr/transferts-de-donnees-hors-ue-sanction-de-290-millions-deuros-lencontre-duber)
- [CNIL — « UBER : l'autorité néerlandaise de protection des données prononce une amende de 10 millions d'euros » (11 décembre 2023)](https://www.cnil.fr/fr/uber-lautorite-neerlandaise-de-protection-des-donnees-prononce-une-amende-de-10-millions-deuros)
- [EUR-Lex — Règlement (UE) 2016/679 (RGPD), texte intégral (articles 13, 15, 22, 56, 60 et 83)](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679)
- [CJUE — Arrêt du 7 décembre 2023, C-634/21, *OQ contre Land Hessen* (SCHUFA)](https://curia.europa.eu/juris/liste.jsf?num=C-634/21&language=fr)
- [Ministère de l'Économie, lettre de la DAJ — « Notion de décision individuelle automatisée : la CJUE se prononce sur l'établissement automatisé de la capacité à rembourser un crédit »](https://www.economie.gouv.fr/daj/lettre-de-la-daj-notion-de-decision-individuelle-automatisee-la-cjue-se-prononce-sur)
- [EUR-Lex — Directive (UE) 2024/2831 du 23 octobre 2024 relative à l'amélioration des conditions de travail dans le cadre du travail via une plateforme](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=OJ:L_202402831)
- [Autoriteit Persoonsgegevens — Monique Verdier, vice-présidente de l'autorité](https://www.autoriteitpersoonsgegevens.nl/en/about-the-ap/organisation-ap/the-board-of-the-ap/monique-verdier-deputy-chair)
- [Assemblée nationale — Question n° 14781, « Transposer la directive sur les travailleurs de plateforme avant décembre 2026 »](https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE14781)
- [Next — « Uber : 825 millions d'euros d'amende pour la suspension automatique de chauffeurs », 24 août 2026 (contexte, plainte de la LDH, réaction d'Uber)](https://next.ink/252848/uber-825-millions-deuros-damende-pour-la-suspension-automatique-de-chauffeurs/)
- [Droit Vivant — module du 28 août 2026 : preuve numérique et données obtenues en violation du RGPD (CJUE, C-484/24)](https://maax6.github.io/droit-vivant/archive/2026-08-28/brief-2026-08-28-preuve-illicite.html)