Décisions entièrement automatisées : l'amende infligée à Uber rappelle la portée de l'article 22 du RGPD

Une note trop basse, un soupçon de fraude, et le compte est coupé sans qu'aucun humain n'ait regardé le dossier. C'est ce fonctionnement que l'autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens, AP) a sanctionné chez Uber. Le Comité européen de la protection des données (CEPD) relaie la décision sur son site, sur une page datée du 8 octobre 2026.

Les faits

Selon le résumé publié, l'amende administrative s'élève à 824 990 000 euros et vise Uber B.V., responsable du traitement. Deux manquements sont retenus :

• Article 22 du RGPD : l'interdiction des décisions individuelles entièrement automatisées. Des comptes de chauffeurs étaient désactivés automatiquement, de façon temporaire en cas de soupçon de fraude ou de notes clients trop basses, de façon définitive lorsque les notes restaient durablement basses. Pendant la désactivation, les chauffeurs perdaient les revenus tirés de la plateforme.
• Article 13 du RGPD : une information insuffisante sur ces décisions automatisées et sur le profilage.

Les faits remontent aux années 2018 à 2022. D'après l'autorité, Uber a depuis mis fin aux manquements. L'entreprise a fait appel : la décision n'est pas définitive.

Une affaire partie de France

Les plaintes émanent de 171 chauffeurs français. Elles ont été déposées auprès de la CNIL par l'intermédiaire de la Ligue des droits de l'Homme. Le siège européen d'Uber étant aux Pays-Bas, c'est l'autorité néerlandaise qui a instruit le dossier, selon le mécanisme du guichet unique prévu par le RGPD.

Ce que le résumé ne dit pas

La page du CEPD est brève. Elle ne détaille ni le calcul du montant, ni sa répartition entre les deux manquements, ni les changements apportés par Uber. Elle ne précise pas quel niveau d'intervention humaine aurait suffi. Elle n'indique pas non plus combien de chauffeurs ont été concernés au total. Le montant et la qualification retenue peuvent encore être revus en appel : il serait imprudent d'en tirer une règle précise.

Pourquoi cela concerne aussi les petites structures

L'article 22 ne vise pas les plateformes en particulier. Il s'applique à toute décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques pour une personne ou l'affecte de manière significative de façon similaire. Une perte de revenus entre dans cette catégorie, comme l'illustre cette affaire. Or les outils qui notent, classent ou bloquent se sont banalisés : tri de candidatures, détection de fraude, notation de clients ou de prestataires, suspension de comptes. Avec les agents IA, capables d'enchaîner seuls l'analyse et l'action, le sujet prend de l'ampleur. La note CNIL-CIANum sur l'IA agentique rappelle d'ailleurs que les garanties de l'article 22 s'appliquent à ces systèmes.

Le règlement européen sur l'IA ne remplace pas cette règle. Il s'y ajoute, et le RGPD s'applique déjà, sans attendre les échéances de 2027.

Notre lecture

Pour une PME française, l'exercice utile consiste à repérer les décisions que plus personne ne regarde.

1. Lister les automatismes qui aboutissent à un refus, un blocage, une suspension ou un classement de personnes : candidats, salariés, clients, livreurs, prestataires indépendants.
2. Vérifier l'intervention humaine. Une personne examine-t-elle réellement le cas avant que la décision ne prenne effet, avec le pouvoir de la modifier ? Une validation de pure forme expose au même reproche.
3. Informer clairement : les personnes concernées doivent savoir qu'un traitement automatisé intervient, sur quels critères et avec quelles conséquences. C'est le second grief retenu ici.
4. Prévoir un recours simple pour contester et obtenir un réexamen.
5. Interroger l'éditeur lorsque la décision est prise par un logiciel tiers : l'entreprise qui l'utilise reste responsable du traitement.

L'issue de l'appel dira si le montant tient. Le principe, lui, figure dans le RGPD depuis 2018 : une décision qui prive quelqu'un de revenus ne se délègue pas entièrement à un algorithme.