825 millions d'euros : Uber sanctionné pour ses décisions automatisées de désactivation de comptes

L'autorité néerlandaise de protection des données, en coopération avec la CNIL, vient d'infliger à Uber une amende de 824,99 millions d'euros — la sanction la plus lourde jamais prononcée sur le terrain des décisions automatisées prévues par l'article 22 du RGPD. En cause : des désactivations de comptes chauffeurs déclenchées sans réelle intervention humaine.

Ce qui s'est passé

Le 21 août 2026, l'autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) a condamné UBER B.V. et UBER TECHNOLOGIES INC. à une amende de 824 990 000 euros. C'est la troisième sanction infligée à l'entreprise dans le cadre d'une même procédure, ouverte en 2020 après une plainte collective de la Ligue des droits de l'Homme représentant plus de 170 chauffeurs de la plateforme. Une première amende de 10 millions d'euros avait visé, en décembre 2023, des manquements à l'information des chauffeurs. Une deuxième, de 290 millions d'euros, avait sanctionné en juillet 2024 des transferts de données hors de l'Union européenne. Cette troisième décision s'attaque cette fois au cœur du modèle : les désactivations automatiques de comptes, temporaires en cas de suspicion de fraude, temporaires ou définitives en cas de notation basse par les clients.

L'autorité néerlandaise était compétente pour instruire le dossier — Uber ayant son établissement principal aux Pays-Bas — mais la CNIL a coopéré tout au long de la procédure, au titre du mécanisme de guichet unique qui organise la coordination entre autorités européennes sur les dossiers transfrontaliers.

Pourquoi cette décision fait jurisprudence

L'article 22 du RGPD interdit, sauf exceptions strictement encadrées, qu'une décision produisant des effets juridiques ou affectant significativement une personne soit prise sur le seul fondement d'un traitement automatisé, y compris de profilage. L'autorité néerlandaise a jugé que les désactivations de comptes chauffeurs entraient précisément dans ce cadre, faute d'intervention humaine réelle dans le processus : le blocage d'un compte prive immédiatement le chauffeur de la possibilité d'exercer son activité et de générer un revenu, ce qui constitue un effet significatif au sens du RGPD.

Ce raisonnement rejoint celui déjà tenu par le régulateur britannique dans le cadre de ses travaux sur les décisions automatisées en recrutement : concevoir un système capable, en théorie, d'une validation humaine ne suffit pas. Encore faut-il que cette intervention soit réelle, informée et capable de modifier l'issue de la décision — pas un simple clic de confirmation apposé sur un verdict déjà scellé par l'algorithme.

Ce que ça change pour les organisations qui utilisent du scoring automatisé

Toute organisation qui exclut, suspend, note ou score des personnes de façon automatisée — chauffeurs, candidats, clients, assurés — doit désormais anticiper le même niveau d'exigence. Concrètement, cela suppose de documenter précisément où s'exerce l'intervention humaine dans la chaîne de décision, et de vérifier qu'elle porte réellement sur le fond et non sur la forme. Une analyse d'impact (AIPD) est quasi systématiquement requise pour ce type de traitement au regard de l'article 35 du RGPD, et doit être mise à jour dès que le système ou ses critères évoluent.

Cette exigence dépasse le seul secteur des plateformes : la CNIL a par exemple publié une recommandation structurante sur le scoring de solvabilité dans le secteur du crédit, avec les mêmes exigences de transparence et d'effectivité du contrôle humain. Le DPO a ici un rôle clé : challenger les équipes produit sur la réalité — et pas seulement l'apparence — de l'intervention humaine avant que le régulateur ne le fasse.

Ce que Leto pense de cette décision

Cette troisième sanction contre la même entreprise, sur un même dossier ouvert depuis 2020, envoie un signal clair : les régulateurs européens ne se contentent plus d'une case cochée « validation humaine » dans un workflow. Ils vérifient si cette validation change réellement l'issue de la décision. Pour toute organisation qui exclut ou score automatiquement des personnes, mieux vaut auditer ses processus de décision maintenant que d'attendre un contrôle — la facture, ici, se chiffre en centaines de millions d'euros.

Sources : CNIL — Décisions automatisées : sanction de près de 825 millions d'euros à l'encontre d'Uber, Autoriteit Persoonsgegevens — Uber fined nearly 825 million euros for automated driver blocking