art. 22 RGPD — droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement la personneart. 13, §2, f) et art. 15, §1, h) RGPD — information sur l'existence de la décision automatisée et sur la logique sous-jacenteart. 56 et art. 60 RGPD — guichet unique, autorité chef de file et coopération entre autoritésart. 83, §5 RGPD — plafond de 20 M€ ou 4 % du chiffre d'affaires annuel mondialC-634/21, SCHUFA, 7 décembre 2023 — qualification large de la décision automatiséeart. 7 à 11 et art. 29, directive (UE) 2024/2831 — gestion algorithmique du travail via plateforme, transposition due le 2 décembre 2026En 2020, la CNIL est saisie d'une plainte collective de la Ligue des droits de l'Homme, représentant plus de 170 chauffeurs VTC de la plateforme, complétée en 2021. Uber ayant son établissement principal à Amsterdam, l'instruction revient à l'autorité néerlandaise, l'Autoriteit Persoonsgegevens, la CNIL coopérant tout au long de la procédure.
L'autorité constate que, de 2018 à 2022, un logiciel surveillait la conduite et analysait les avis clients : en cas de soupçon de fraude ou de notation trop basse, le compte du chauffeur était désactivé — temporairement, puis définitivement — sans aucune intervention humaine. Amende : 824 990 000 €, annoncée le 21 août 2026, relayée par la CNIL le 24 août. C'est la troisième du dossier, après 10 M€ le 11 décembre 2023 (information des chauffeurs) et 290 M€ le 22 juillet 2024 (transferts hors UE).
Pour Monique Verdier, vice-présidente de l'autorité néerlandaise, « un ordinateur ne devrait pas prendre de lui-même des décisions qui ont des conséquences majeures ». Uber a annoncé faire appel, jugeant la sanction disproportionnée et visant des politiques abandonnées de longue date ; l'affaire n'est donc pas définitivement jugée.
Le montant frappe, mais l'enseignement est ailleurs : la sanction ne vise ni une fuite de données, ni un défaut de chiffrement, ni un transfert illicite. Elle vise une architecture de décision — un pipeline qui va du signal de télémétrie au blocage de compte sans qu'un être humain habilité ne s'interpose. Autrement dit, la conformité se démontre désormais dans le graphe d'exécution du produit, pas dans une politique de confidentialité. Et depuis l'arrêt SCHUFA, l'humain de façade ne suffit pas : un validateur qui entérine systématiquement la sortie du modèle laisse la décision « exclusivement automatisée ». À cela s'ajoute une échéance : la directive sur le travail via une plateforme, à transposer d'ici le 2 décembre 2026, impose qu'une décision de limiter, suspendre ou résilier le compte d'un travailleur de plateforme soit prise par un être humain — ce qui déplacera la question du terrain de la protection des données vers celui du droit du travail.