Uber sanctionné aux Pays-Bas : 825 millions d'euros pour des comptes coupés sans humain
Uber vient d'écoper de 825 millions d'euros d'amende aux Pays-Bas pour avoir désactivé automatiquement des comptes de chauffeurs, sans intervention humaine et sans réelle possibilité de contestation. La décision émane de l'autorité néerlandaise de protection des données (l'Autoriteit Persoonsgegevens, AP), l'équivalent local de la CNIL française. Le motif central : une décision lourde de conséquences — priver un chauffeur de son gagne-pain — était prise par un algorithme seul, ce que le droit européen encadre strictement. La plateforme, dont le siège européen est à Amsterdam, conteste et affirme que ces pratiques ont été abandonnées « depuis plusieurs années ». Voici ce que révèle cette sanction record, pourquoi elle concerne bien au-delà d'Uber, et ce que tout dirigeant qui utilise des algorithmes de décision devrait en retenir.
Ce que reproche exactement l'autorité néerlandaise
Le cœur du dossier n'est pas la coupure de compte en elle-même. Une plateforme a le droit de rompre une relation contractuelle. Le problème, c'est le comment.
Selon les éléments publics, Uber aurait laissé un système automatisé décider seul de la désactivation de comptes de chauffeurs — parfois pour suspicion de fraude — sans qu'un humain examine réellement le dossier avant que la sanction ne tombe. Résultat : un chauffeur pouvait se retrouver du jour au lendemain incapable de travailler, sans explication claire et sans interlocuteur pour faire réviser la décision.
C'est précisément cette absence de « garde-fou humain » qui déclenche l'application du fameux article du droit européen sur les décisions automatisées.
Pourquoi une décision automatisée peut coûter aussi cher
Le règlement européen sur la protection des données (le RGPD, entré en application en 2018) contient une règle souvent ignorée des entreprises : l'article 22.
Cet article pose un principe simple. Une personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé — sans intervention humaine — dès lors que cette décision produit des effets juridiques la concernant ou l'affecte de manière significative.
Or, couper le compte d'un chauffeur qui vit de la plateforme, c'est l'affecter « de manière significative ». On ne parle plus d'une simple recommandation de trajet ou d'une suggestion commerciale : on parle de sa capacité à gagner sa vie.
Quand ce type de décision est prise par une machine seule, l'entreprise doit garantir trois choses minimales :
- une information claire de la personne sur la logique du traitement ;
- le droit d'obtenir une intervention humaine pour réexaminer la décision ;
- la possibilité de contester et d'exprimer son point de vue.
Si ces garanties manquent, l'infraction est caractérisée. Et les amendes RGPD peuvent atteindre jusqu'à 4 % du chiffre d'affaires mondial annuel de l'entreprise concernée — ce qui explique l'ampleur du montant.
L'angle que peu de commentateurs relèvent : le vrai risque, c'est l'opacité, pas l'algorithme
On résume souvent ce genre d'affaire par « l'IA a viré des gens ». C'est trompeur.
Le droit européen n'interdit pas d'utiliser des algorithmes pour détecter des fraudes ou trier des comportements suspects. Une plateforme qui gère des centaines de milliers de comptes ne peut pas tout vérifier à la main, et personne ne le lui demande.
Ce que la loi sanctionne, c'est la chaîne fermée : détection automatique → sanction automatique → aucun humain → aucune explication → aucun recours utile. Le point de rupture juridique n'est pas la machine qui signale, c'est la machine qui tranche définitivement.
Autrement dit, une entreprise pourrait utiliser exactement le même algorithme de détection et être parfaitement en règle — à condition qu'un humain valide la décision finale et qu'un chemin de contestation réel existe. La faute n'est pas technologique, elle est organisationnelle.
C'est une nuance que beaucoup de dirigeants manquent : ils croient devoir arbitrer entre « automatiser » et « ne pas automatiser ». Le vrai sujet est ailleurs : où place-t-on l'humain dans la boucle ?
Le montant : record, mais contesté
825 millions d'euros, c'est une sanction considérable, parmi les plus lourdes jamais prononcées par une autorité de protection des données en Europe pour ce type de manquement.
Mais attention : une amende annoncée n'est pas une amende définitive. Uber a fait savoir qu'elle contestait la décision et considérait que l'AP examinait « d'anciennes pratiques, abandonnées depuis plusieurs années ».
Deux batailles vont donc se jouer en parallèle :
- Sur le fond : ces pratiques étaient-elles réellement illégales au moment des faits, et le sont-elles encore ?
- Sur le montant : la proportionnalité de la sanction sera presque certainement discutée devant les juridictions néerlandaises.
Il est fréquent, dans ce type de contentieux, que le montant final soit revu à la baisse après recours. Le chiffre de 825 millions doit donc se lire comme un point de départ de négociation judiciaire, pas comme une somme figée.
Ce que cette affaire dit de la régulation des plateformes
Cette sanction s'inscrit dans un mouvement de fond : les régulateurs européens ne considèrent plus les grandes plateformes comme de simples intermédiaires techniques neutres.
Quand une plateforme décide qui peut travailler et qui ne peut plus, elle exerce un pouvoir concret sur la vie des gens. Et ce pouvoir, dès lors qu'il s'appuie sur des données personnelles et des décisions automatisées, tombe sous le regard des autorités de protection des données.
Le message envoyé aux plateformes est clair : la scalabilité technologique — la capacité à gérer des millions d'utilisateurs sans effort humain — ne dispense jamais des obligations envers les personnes. Plus une décision est lourde de conséquences, plus l'humain doit rester dans la boucle.
Ce qu'un dirigeant français doit en retenir concrètement
Vous n'êtes ni Uber ni une plateforme mondiale ? Cette affaire vous concerne quand même dès que vous utilisez un outil automatisé qui produit des effets sur des personnes : tri automatique de candidatures, scoring de clients, blocage automatique de comptes, notation de fournisseurs.
Voici une check-list rapide pour tester votre exposition :
- Un humain valide-t-il la décision finale avant qu'elle ne produise ses effets ? (Si non : alerte rouge.)
- La personne concernée est-elle informée qu'un traitement automatisé intervient dans la décision ?
- Existe-t-il un canal de contestation réel — pas un formulaire fantôme qui ne débouche sur rien ?
- Pouvez-vous expliquer la logique de la décision à la personne qui la subit ?
- Avez-vous tracé qui a validé quoi, et quand ? (En cas de contrôle, la preuve écrite fait la différence.)
Le document à produire en interne : une fiche décrivant chaque traitement automatisé ayant un impact sur des personnes, avec le point d'intervention humaine identifié noir sur blanc. C'est ce type de documentation que réclame une autorité de contrôle en cas d'enquête.
Questions fréquentes
Le RGPD interdit-il d'utiliser un algorithme pour prendre des décisions ?
Non. Le RGPD n'interdit pas les traitements automatisés. Il encadre uniquement les décisions prises exclusivement par une machine et qui affectent significativement une personne. Si un humain valide la décision et qu'un recours existe, l'usage de l'algorithme reste légal.
Une amende de la CNIL peut-elle atteindre les mêmes montants en France ?
Oui, potentiellement. La CNIL applique le même cadre européen. Les sanctions RGPD peuvent monter jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. L'ampleur dépend de la gravité et du nombre de personnes touchées.
Un chauffeur ou un travailleur peut-il exiger une explication d'une décision automatisée ?
Oui. Le droit européen ouvre à la personne concernée le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester une décision automatisée qui l'affecte de façon significative. L'entreprise doit aussi pouvoir expliquer la logique générale du traitement.
L'amende de 825 millions est-elle définitive ?
Non. Uber a annoncé la contester. Une décision d'autorité de protection des données peut faire l'objet de recours devant les juridictions nationales, et le montant est fréquemment réexaminé. Le chiffre annoncé n'est pas un paiement acquis.
Mon entreprise utilise un logiciel de tri de candidatures. Suis-je concerné ?
Potentiellement, oui. Un tri automatique qui écarte des candidats sans regard humain peut relever des décisions automatisées encadrées par le RGPD. Assurez-vous qu'un recruteur examine réellement les dossiers et que le candidat puisse être informé et contester.
Quelle différence entre un algorithme qui « signale » et un algorithme qui « décide » ?
C'est la distinction clé. Un algorithme qui signale un cas suspect à un humain, lequel tranche ensuite, reste conforme. Un algorithme qui décide seul de la sanction, sans validation ni recours, tombe sous l'interdiction. Le point de bascule est l'absence d'intervention humaine réelle.
Comment prouver qu'un humain intervient bien dans la décision ?
Par la traçabilité. Conservez un journal indiquant qui a validé chaque décision, à quelle date, et sur la base de quels éléments. Une validation « pour la forme » — un simple clic sans examen — ne suffit pas : l'intervention humaine doit être effective et documentée.