↓ Version .md brute (pour NotebookLM)

Quand la machine licencie : l'amende de 824 990 000 euros infligée à Uber et le retour de l'article 22 du RGPD

Le point de départ : une plainte française, une sanction néerlandaise

Le 21 août 2026, l'autorité néerlandaise de protection des données, l'Autoriteit Persoonsgegevens, a prononcé contre les sociétés UBER B.V., établie à Amsterdam, et UBER TECHNOLOGIES INC., dont le siège est à San Francisco, une amende de 824 990 000 euros ; la CNIL l'a relayée dans un communiqué du 24 août 2026. Le montant est spectaculaire, mais l'essentiel est ailleurs : le manquement n'est ni une fuite de données, ni un défaut de chiffrement, ni un transfert illicite. Il porte sur la manière dont une décision est prise à l'intérieur d'un système informatique.

L'histoire commence en France. En 2020, la CNIL est saisie d'une plainte collective déposée par la Ligue des droits de l'Homme, qui représente plus de cent soixante-dix chauffeurs de véhicules de transport avec chauffeur travaillant via la plateforme. La plainte, complétée en 2021, vise trois choses : l'information des personnes concernées, les transferts de données hors de l'Union européenne, et les décisions automatisées de déconnexion, temporaire ou définitive. Selon les comptes rendus de presse de l'époque, les chauffeurs recevaient des messages automatiques strictement identiques, invoquant la violation d'un principe de la charte de la communauté ou une simple « anomalie », sans aucune information sur leur cas particulier.

Une plainte déposée à Paris aboutissant à une amende prononcée aux Pays-Bas : cette trajectoire est celle du mécanisme dit du guichet unique, prévu aux articles 56 et 60 du règlement général sur la protection des données. Lorsqu'une entreprise dispose d'un établissement principal dans un État membre, l'autorité de cet État devient autorité chef de file pour les traitements transfrontaliers ; les autres autorités concernées — la CNIL au premier chef, puisqu'elle a reçu la plainte — coopèrent aux contrôles et à l'examen du projet de décision. C'est la troisième sanction du même dossier, après 10 millions d'euros le 11 décembre 2023 pour des manquements à l'information des chauffeurs, et 290 millions d'euros le 22 juillet 2024 pour des transferts de données vers les États-Unis.

Ce que la machine faisait

Les faits retenus tiennent en peu de mots, et c'est ce qui les rend instructifs. Entre 2018 et 2022, Uber utilisait un logiciel qui surveillait le comportement des chauffeurs au volant et analysait les évaluations laissées par les clients. En cas de soupçon de fraude, le compte était temporairement désactivé ; en cas d'évaluations trop basses, la désactivation pouvait être temporaire, puis définitive si les mauvaises notes persistaient. Aucune évaluation humaine n'intervenait dans ce processus.

Or la conséquence, pour la personne concernée, n'a rien d'abstrait : compte bloqué, le chauffeur ne peut plus effectuer de courses et ne génère donc plus aucun revenu de la plateforme. Monique Verdier, vice-présidente de l'autorité néerlandaise, l'a formulé sans détour : un ordinateur ne devrait pas prendre de lui-même des décisions ayant des conséquences majeures, et de telles décisions auraient dû être examinées au préalable par un être humain. Selon la décision formelle, à laquelle la presse a eu accès mais qui n'était pas encore publiée au moment de l'annonce, l'autorité retient également une atteinte au droit d'être pleinement informé de ces décisions automatisées.

Uber a annoncé son intention de faire appel, qualifiant l'amende de disproportionnée et estimant qu'elle vise des politiques abandonnées depuis des années ; l'entreprise invoque des contrôles humains, des mesures de protection et une possibilité de recours. Il faut le dire clairement : la décision n'est pas définitive. Ce module décrit un état du dossier, non un jugement définitif.

Le texte : l'article 22 du RGPD

La disposition centrale est l'article 22 du règlement (UE) 2016/679. Son premier paragraphe énonce que la personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire. Trois conditions doivent donc être réunies : une décision, un fondement exclusivement automatisé, et un effet juridique ou significatif.

C'est la deuxième condition qui a longtemps servi de porte de sortie : il suffisait, croyait-on, de placer un opérateur humain quelque part dans la chaîne. L'arrêt de la Cour de justice de l'Union européenne du 7 décembre 2023, affaire C-634/21, *OQ contre Land Hessen*, plus connue sous le nom de l'organisme de scoring allemand SCHUFA, a resserré cette lecture. La Cour y juge que l'établissement automatisé d'une valeur de probabilité relative à la capacité d'une personne à rembourser un crédit constitue une décision individuelle automatisée dès lors que le tiers destinataire s'appuie de manière déterminante sur cette valeur. Elle rappelle par ailleurs que l'article 22, paragraphe 1, pose une interdiction de principe, que le responsable du traitement doit respecter de sa propre initiative, sans attendre qu'une personne concernée invoque son droit. La conséquence pratique est nette : un contrôle humain de façade, dans lequel l'opérateur entérine sans pouvoir réellement contredire la sortie du système, ne rompt pas le caractère exclusivement automatisé de la décision. La supervision humaine ne se décrète pas, elle se démontre.

S'y ajoutent les obligations de transparence. Les articles 13, paragraphe 2, point f, et 15, paragraphe 1, point h, imposent d'informer la personne de l'existence d'une prise de décision automatisée et de lui fournir des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues du traitement. Un message générique invoquant une « anomalie » ne satisfait manifestement pas cette exigence. Quant au quantum, l'article 83, paragraphe 5, place les manquements aux droits des personnes concernées dans la catégorie la plus lourde : jusqu'à 20 millions d'euros, ou 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. C'est ce plafond, calculé sur le chiffre d'affaires mondial et non sur l'activité dans un seul État membre, qui explique qu'une autorité nationale puisse prononcer une amende de cet ordre de grandeur.

Ce qui change le 2 décembre 2026

Le dossier Uber porte sur des faits arrêtés en 2022 et sur un fondement — le RGPD — conçu pour la protection des données. Or une seconde couche normative arrive, et elle vise directement le même scénario. La directive (UE) 2024/2831 du 23 octobre 2024, relative à l'amélioration des conditions de travail dans le cadre du travail via une plateforme, publiée au Journal officiel de l'Union le 11 novembre 2024, consacre un chapitre entier à la gestion algorithmique, aux articles 7 à 11 : limites au traitement des données par les systèmes de surveillance et de décision automatisée, obligations de transparence, supervision humaine de leur fonctionnement, et surtout examen humain des décisions importantes — toute décision de limiter, de suspendre ou de résilier la relation contractuelle ou le compte d'une personne effectuant un travail via une plateforme, ou toute autre décision causant un préjudice équivalent, doit être prise par un être humain. S'y ajoutent un droit à une explication formulée en termes clairs et simples, et la possibilité d'en discuter les motifs avec une personne désignée.

Le délai de transposition, fixé par l'article 29 de la directive, expire le 2 décembre 2026 — dans un peu plus de trois mois. À compter de cette échéance, la même conduite ne relèvera plus seulement du droit de la protection des données et d'une autorité administrative indépendante : elle relèvera aussi du droit du travail national, avec d'autres juges, d'autres délais et d'autres demandeurs. Une désactivation automatique de compte pourra donc être attaquée sur deux fondements distincts, à partir des mêmes journaux techniques.

Ce qu'un ingénieur doit en retenir

La leçon la plus utile de cette affaire est qu'une obligation juridique s'est déplacée vers l'architecture logicielle. La question n'est plus « avons-nous publié une politique de confidentialité correcte ? » mais « qui, dans notre graphe d'exécution, peut interrompre le pipeline avant que la décision ne produise ses effets, avec quelle autorité réelle, sur la base de quelles informations, en combien de temps, et en laissant quelle trace ? ». Un audit de conformité à l'article 22 ressemble ainsi bien plus à une revue d'architecture qu'à une revue documentaire : identifier les points de décision, distinguer les sorties purement informatives de celles qui produisent un effet, mesurer le taux réel de contradiction du système par les opérateurs — un taux d'infirmation proche de zéro est un signal d'alerte, non une preuve de qualité du modèle —, vérifier que l'explication délivrée correspond aux variables ayant réellement pesé, et s'assurer que les journaux permettent de reconstituer une décision individuelle des mois plus tard, y compris après réentraînement.

Deux zones grises feront le contentieux à venir. La première tient à la notion d'effet significatif : la perte d'accès à l'outil de travail en est un exemple limpide, mais qu'en est-il d'un déclassement dans l'ordre d'attribution des courses, d'une baisse de visibilité, d'une réduction progressive du volume proposé ? Ces mesures produisent des effets économiques comparables sans jamais prendre la forme d'une décision identifiable. La seconde tient à la preuve : l'autorité de contrôle, comme le travailleur, ne dispose que de ce que la plateforme accepte de journaliser. La qualité de la traçabilité devient ainsi un enjeu autant pour celui qui se défend que pour celui qui accuse.

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Choisissez l'un des cinq angles ci-dessous selon ce que vous voulez entendre, et collez-le tel quel dans le champ de personnalisation.

Angle 1 — Audit offensif d'un pipeline de décision automatisée. Traite ce dossier comme une mission d'audit et construis la méthodologie complète de test d'un système de décision affectant des personnes : cartographie des points de décision et de leurs effets, identification des chemins où aucun humain n'est atteignable, mesure du taux réel d'infirmation des sorties du modèle par les opérateurs, vérification de la cohérence entre l'explication fournie à la personne et les variables réellement déterminantes, tests de bout en bout sur les délais de recours. Explique quels artefacts probants un auditeur doit exiger — journaux, matrices de rôles, historique des versions de modèle — et lesquels manquent presque toujours.

Angle 2 — Architecture et API : où placer l'humain dans le graphe d'exécution. Concentre-toi sur la mécanique technique. Décris une architecture de suspension de compte conforme : file d'attente de décisions en attente de revue, seuils de bascule vers un examen humain, service d'explication exposant les facteurs déterminants, API de recours avec accusé de réception et délai maximal, journalisation immuable liant une décision à une version de modèle et à un jeu de données. Discute des points de rupture : latence contre exigence de revue préalable, passage à l'échelle de la revue humaine, risque d'un opérateur qui approuve en série faute de temps, et conservation des journaux face aux durées de conservation imposées par ailleurs.

Angle 3 — Comparaison avec les autres régimes déjà traités dans le dépôt. Mets cette sanction en regard des modules précédents de Droit Vivant : l'article 50 de l'AI Act et le filigrane des contenus générés, les nouvelles pratiques interdites de l'article 5 applicables au 2 décembre 2026, l'obligation de signalement à vingt-quatre heures de l'article 14 du Cyber Resilience Act, les fiches de la CNIL sur les outils collaboratifs à l'école, et l'arrêt C-484/24 sur la preuve obtenue en violation du RGPD. Montre que le point d'imputation change à chaque fois — le fournisseur de modèle, le fabricant de produit, l'établissement acheteur, la plateforme décisionnaire — et compare les plafonds de sanction ainsi que la charge de la preuve qui pèse sur chacun.

Angle 4 — Veille réglementaire automatisée sur la décision algorithmique. Propose une méthode concrète pour suivre ce dossier sans le relire à la main : sources à surveiller (actualités et délibérations de la CNIL, publications de l'autorité néerlandaise, registre des décisions du Comité européen de la protection des données, flux CURIA et EUR-Lex sur l'article 22, dossiers législatifs français de transposition de la directive 2024/2831), granularité utile, mots-clés de filtrage, et déclencheurs d'alerte pertinents : publication de la décision formelle néerlandaise, dépôt du projet de loi de transposition, première décision d'appel, nouvelles lignes directrices sur la supervision humaine.

Angle 5 — Prospective contentieuse : les zones grises qui viennent. Projette la suite. Que devient la qualification lorsque la plateforme ne coupe plus le compte mais réduit progressivement le volume de courses proposées, sans décision identifiable ? Comment prouver l'absence d'intervention humaine réelle quand un opérateur a formellement cliqué « valider » sur dix mille dossiers en une journée ? Comment s'articuleront, à partir du 2 décembre 2026, une action devant l'autorité de protection des données et une action devant le juge du travail fondée sur la directive sur le travail via une plateforme, sur les mêmes faits ? Et si la décision de blocage repose demain sur un modèle d'apprentissage dont les facteurs déterminants ne sont pas stables dans le temps, que peut encore signifier l'obligation d'informer sur « la logique sous-jacente » ?