825 millions d'euros pour une décision automatisée : ce que l'article 22 du RGPD interdit vraiment

L'autorité néerlandaise de protection des données a infligé le 21 août 2026 une amende de 824 990 000 euros à Uber B.V. et Uber Technologies Inc. Le motif : des désactivations de chauffeurs, temporaires ou définitives, décidées par un système automatisé sans intervention humaine préalable.

La CNIL a relayé la sanction dans son communiqué du 24 août 2026, en tant qu'autorité ayant coopéré au dossier depuis la plainte d'origine. C'est la deuxième sanction RGPD la plus élevée jamais prononcée, derrière le milliard deux cents millions d'euros infligés à Meta par l'Irlande en 2023.

L'affaire remonte à 2020. La CNIL avait été saisie d'une plainte collective de la Ligue des droits de l'Homme, au nom de plus de 170 chauffeurs, complétée en 2021. Le siège européen d'Uber se trouvant aux Pays-Bas, l'instruction est revenue à l'autorité néerlandaise, au titre du guichet unique du RGPD. Sa vice-présidente, Monique Verdier, a résumé le grief : « Un ordinateur ne devrait pas prendre de lui-même des décisions qui ont des conséquences majeures pour vous. »

Ce que l'article 22 du RGPD interdit exactement

L'article 22 donne à toute personne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, profilage compris, dès lors qu'elle produit des effets juridiques ou l'affecte de manière significative. Une désactivation de compte qui coupe un revenu du jour au lendemain coche les deux cases.

Le texte n'interdit pas l'automatisation en soi. Il l'interdit quand elle tranche seule, sans qu'un humain ait examiné le cas avant que la décision produise ses effets. Trois exceptions ouvrent malgré tout la porte :

• la nécessité contractuelle ;
• une autorisation prévue par la loi ;
• le consentement explicite de la personne.

Dans les trois cas, l'article 22§3 impose des garanties minimales : obtenir une intervention humaine, exprimer son point de vue, contester la décision. L'autorité néerlandaise reproche à Uber de n'avoir jamais organisé ce recours de façon réelle. Et d'avoir mal informé les chauffeurs de la logique suivie, en violation des articles 13 et 14 sur le droit à l'information.

Pourquoi ce dossier vous concerne même sans plateforme de VTC

Le mécanisme qui a coûté 825 millions d'euros à Uber n'a rien d'exotique. Je le retrouve dans des systèmes bien plus ordinaires :

• un scoring de crédit qui refuse seul un dossier ;
• un algorithme RH qui écarte une candidature avant tout entretien ;
• un système de détection de fraude qui bloque un compte client.

Mêmes ingrédients : une décision à effet significatif, aucune validation humaine documentée. Beaucoup de ces cas recoupent en plus les catégories à haut risque de l'annexe III de l'AI Act, recrutement et scoring de solvabilité en tête.

Je détaille cette articulation entre RGPD et AI Act dans la feuille de route de mise en conformité AI Act. Les deux textes finissent par exiger la même chose : une trace de ce qui a été décidé, par qui, et sur quelle base.

Les contrôles qui auraient changé l'issue

Quand j'audite un système de décision automatisée, je commence toujours par la même question : qui peut concrètement bloquer ou modifier la décision avant qu'elle produise un effet sur la personne ?

Pas un humain qui parcourt un rapport d'incidents une fois par semaine. Un humain identifié, avec le temps et le mandat d'intervenir avant que le compte soit coupé. C'est ce chaînon qui a manqué chez Uber, et c'est le premier point que je vérifie, avant même la qualité du modèle. Trois éléments doivent tenir face à un contrôle :

• une procédure de révision humaine documentée et réellement activable ;
• une information claire de la personne sur l'existence de la décision automatisée et sur la logique suivie ;
• un registre qui trace chaque décision, chaque contestation et sa réponse.

Sans ce registre, impossible de prouver deux ou trois ans plus tard que le recours fonctionnait à l'époque des faits contestés.

Une leçon qui vaut aussi hors RGPD

Si votre organisation traite d'autres textes qui se chevauchent, comme NIS2, la logique ne change pas : vérifier le périmètre exact avant d'investir. Le test NIS2 en 6 questions applique ce principe à un autre sujet, avec le même objectif, une réponse nette plutôt qu'une inquiétude diffuse.

La juridiction applicable à vos données compte tout autant. La même autorité néerlandaise avait déjà infligé à Uber 290 millions d'euros pour des transferts de données de chauffeurs vers les États-Unis, décision aujourd'hui en appel. Je traite ce point dans le choix d'un hébergement IA en Union européenne.

Uber a fait appel de la décision du 21 août : le montant final n'est pas définitif. Le signal envoyé aux régulateurs européens, lui, l'est déjà. Une décision automatisée sans recours humain réel n'est plus un détail de conformité, c'est un motif de sanction à neuf chiffres. Si un système décide seul chez vous et que le doute s'installe, parlons-enavant qu'un régulateur ne pose la question à votre place.