L’article en bref
- Une amende de 824 990 000 € a été prononcée le 24 août 2026 contre deux sociétés du groupe Uber.
- Elle émane de l’autorité néerlandaise de protection des données, la CNIL ayant coopéré à la procédure.
- En cause : des désactivations de comptes de chauffeurs décidées sans intervention humaine réelle.
- L’article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé.
- Il ne vise pas tous les algorithmes, mais ceux dont l’effet est juridique ou significatif.
- La parade tient en une exigence : une intervention humaine effective, pas une validation de façade.
Faits vérifiés le 26 août 2026 à 10 h 00.
Le 24 août 2026, une amende de 824 990 000 € a frappé les sociétés UBER B.V. et UBER TECHNOLOGIES INC. Le motif tient en une phrase : des comptes de chauffeurs ont été suspendus ou désactivés par des systèmes automatisés, sans qu’un être humain intervienne réellement dans la décision. Le fondement est l’article 22 du RGPD. Toute entreprise qui trie, classe ou bloque des personnes par algorithme est concernée par le raisonnement suivi.
Ce qui est établi, et ce qui l’est moins
Les éléments suivants proviennent du communiqué publié par la CNIL le 24 août 2026.
La sanction a été prononcée par l’autorité néerlandaise de protection des données, et non par la CNIL. Cette précision n’est pas cosmétique. Le groupe Uber ayant son établissement principal aux Pays-Bas, l’autorité néerlandaise est autorité chef de file au titre du mécanisme de guichet unique du RGPD. La CNIL a participé à la procédure dans ce cadre. Plusieurs comptes rendus ont écrit que « la CNIL avait sanctionné Uber » : la réalité procédurale est différente, et elle compte si vous cherchez à savoir quelle autorité serait compétente pour votre propre groupe.
Il s’agit par ailleurs d’une sanction administrative, prononcée par une autorité de contrôle, et non d’une condamnation par une juridiction. La procédure trouve son origine dans une plainte collective déposée en 2020 par la Ligue des droits de l’Homme pour plus de 170 chauffeurs, complétée en 2021.
Deux catégories de décisions ont été retenues : les désactivations temporaires en cas de fraude suspectée, et les blocages, temporaires ou définitifs, fondés sur des notes de clients jugées trop basses. L’autorité a relevé l’absence d’intervention humaine dans le processus décisionnel. Ces décisions affectaient directement la capacité des chauffeurs à effectuer des courses et à percevoir des revenus.
Ce qui n’est pas établi à ce jour, et que nous n’affirmerons donc pas : les suites procédurales de cette décision. Nous actualiserons cet article si des éléments officiels nouveaux paraissent.
Ce que dit exactement l’article 22 du RGPD
Le texte est court, et souvent mal lu. Son paragraphe 1 énonce que la personne concernée « a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire ».
Trois conditions se cumulent donc, et chacune mérite un examen.
La décision doit d’abord être fondée exclusivement sur un traitement automatisé. C’est ici que se joue la majorité des dossiers. Une validation humaine purement formelle, qui entérine sans examen ce que propose le système, ne suffit pas à faire sortir la décision du champ de l’article 22.
La décision doit ensuite produire des effets juridiques, ou affecter la personne de manière significative de façon similaire. Un refus de crédit, une résiliation, une exclusion d’une plateforme dont dépend un revenu entrent dans cette catégorie. Une recommandation de produit, non.
Le paragraphe 2 prévoit trois cas dans lesquels cette interdiction de principe ne s’applique pas : la décision nécessaire à la conclusion ou à l’exécution d’un contrat, celle autorisée par le droit de l’Union ou d’un État membre avec des garanties appropriées, et celle fondée sur le consentement explicite de la personne.
Mais s’appuyer sur l’une de ces exceptions ne dispense de rien. Le paragraphe 3 impose au responsable du traitement de mettre en œuvre des mesures appropriées, comprenant « au moins » le droit de la personne « d’obtenir une intervention humaine de la part du responsable du traitement, d’exprimer son point de vue et de contester la décision ». Trois droits, cumulatifs.
Votre entreprise est-elle concernée ?
La réponse dépend de l’effet produit, pas du secteur ni de la sophistication du modèle. Un tableur peut suffire à créer une décision automatisée au sens du texte. Un système d’intelligence artificielle peut, à l’inverse, rester hors champ s’il ne fait que suggérer.
| Situation courante | Effet sur la personne | Point à vérifier en priorité |
|---|---|---|
| Suspension d’un compte vendeur sur une place de marché | Perte d’activité et de revenus | Un salarié réexamine-t-il réellement le dossier avant blocage ? |
| Score antifraude bloquant une commande ou un paiement | Refus contractuel | La personne peut-elle contester et obtenir un réexamen ? |
| Présélection automatisée de candidatures | Exclusion d’un processus de recrutement | Le tri écarte-t-il définitivement, ou classe-t-il pour un examen humain ? |
| Notation de clients ou de prestataires | Déréférencement, perte d’accès | Le seuil déclenche-t-il une mesure automatique ? |
| Recommandation de contenus ou de produits | Effet en principe non significatif | Vérifier au cas par cas : l’intensité de l’effet commande la qualification |
Cinq vérifications à mener sur vos propres traitements
Recensez les décisions, pas les outils. Partez de ce que vit la personne : est-elle bloquée, refusée, exclue, déclassée ? Remontez ensuite à la chaîne technique. Beaucoup d’organisations font l’inverse et passent à côté de processus anciens, non identifiés comme « algorithmiques ».
Qualifiez l’effet. Un effet juridique ou significatif fait basculer le traitement dans le champ de l’article 22. Documentez ce raisonnement par écrit, y compris lorsque vous concluez que le texte ne s’applique pas. Cette trace vaut démonstration de conformité.
Éprouvez la réalité de l’intervention humaine. La personne qui valide dispose-t-elle du temps, des informations et de l’autorité nécessaires pour contredire le système ? Combien de propositions a-t-elle infirmées au cours des douze derniers mois ? Un taux d’infirmation nul est un signal, pas une preuve de qualité.
Ouvrez les trois droits du paragraphe 3. Intervention humaine, expression du point de vue, contestation. Ces droits supposent un canal identifiable, un délai de réponse et une traçabilité. Une adresse de contact générique sans processus interne ne suffira pas.
Informez sur la logique sous-jacente. L’article 15, paragraphe 1, point h) du RGPD ouvre à la personne le droit de connaître l’existence d’une prise de décision automatisée et d’obtenir « des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues » du traitement. Cette obligation se prépare avant la première demande, pas après.
Ce que cette affaire change concrètement
Le montant retient l’attention, mais il n’est pas l’enseignement principal. Ce qui mérite d’être noté, c’est la trajectoire : la décision d’août 2026 fait suite, selon le communiqué de la CNIL, à deux sanctions antérieures visant le même groupe, l’une de 10 millions d’euros en décembre 2023 relative à l’information des personnes, l’autre de 290 millions d’euros en juillet 2024 relative à des transferts de données.
Les autorités européennes examinent donc désormais l’automatisation des décisions au même titre que la sécurité ou les transferts. Pour une direction juridique, la question n’est plus de savoir si l’entreprise utilise des algorithmes. Elle est de savoir lesquels décident, et avec quelle garantie humaine.
Notre cabinet accompagne les entreprises sur la conformité de leurs traitements automatisés, en lien avec nos pages avocat RGPD, avocat en intelligence artificielle et avocat CNIL. Chaque situation est particulière et mérite une analyse dédiée.
Questions fréquentes
La CNIL a-t-elle sanctionné Uber ?
Non. La sanction a été prononcée le 24 août 2026 par l’autorité néerlandaise de protection des données, autorité chef de file car l’établissement principal du groupe se situe aux Pays-Bas. La CNIL a coopéré à la procédure dans le cadre du mécanisme de guichet unique prévu par le RGPD.
Quel est le montant exact de l’amende ?
824 990 000 €, prononcés à l’encontre des sociétés UBER B.V. et UBER TECHNOLOGIES INC., selon le communiqué publié par la CNIL le 24 août 2026.
Tous les algorithmes sont-ils interdits par l’article 22 ?
Non. L’article 22 vise les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques ou affectent la personne de manière significative de façon similaire. Une recommandation sans effet notable reste hors de ce champ.
Une validation humaine suffit-elle à sortir du champ de l’article 22 ?
Seulement si elle est réelle. Une personne qui entérine sans examen ce que propose le système ne rompt pas le caractère exclusivement automatisé de la décision. C’est l’effectivité du réexamen qui compte, non sa formalité.
Quels droits doivent être ouverts aux personnes ?
Le paragraphe 3 de l’article 22 impose au minimum trois droits : obtenir une intervention humaine du responsable du traitement, exprimer son point de vue et contester la décision. Ils supposent un canal accessible et un traitement tracé.
Faut-il expliquer le fonctionnement de l’algorithme ?
L’article 15, paragraphe 1, point h) ouvre le droit d’obtenir des informations utiles sur la logique sous-jacente, ainsi que sur l’importance et les conséquences prévues du traitement. Il ne s’agit pas de divulguer le code source, mais de rendre la décision compréhensible.
Le consentement permet-il de tout automatiser ?
Non. Le consentement explicite figure parmi les trois cas du paragraphe 2 qui écartent l’interdiction de principe. Mais les garanties du paragraphe 3 restent dues, y compris le droit d’obtenir une intervention humaine.
Une PME est-elle concernée ?
Oui, si elle prend des décisions automatisées produisant les effets décrits. Le RGPD ne réserve pas l’article 22 aux grandes plateformes. La taille de l’organisme influe sur le montant d’une éventuelle sanction, pas sur l’applicabilité du texte.
Sources officielles
- CNIL, « Décisions automatisées : sanction de près de 825 millions d’euros à l’encontre d’UBER », communiqué du 24 août 2026 – cnil.fr
- Article 22 du règlement (UE) 2016/679 (RGPD), décision individuelle automatisée, y compris le profilage – texte du RGPD, cnil.fr
- Article 15, paragraphe 1, point h) du règlement (UE) 2016/679 (RGPD), droit d’accès et logique sous-jacente – texte du RGPD, cnil.fr
Journal de mise à jour : article publié le 26 août 2026, faits vérifiés le 26 août 2026 à 10 h 00 à partir du communiqué de la CNIL du 24 août 2026.
Cet article présente l’état du droit à titre d’information générale, tel que vérifié le 26 août 2026. Il ne constitue pas une consultation juridique et ne comporte aucune promesse de résultat. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d’avocat.
