Retirer une licence n’a jamais été un geste anodin. La carte professionnelle d’un chauffeur de taxi, l’agrément d’un pharmacien : le droit a bâti autour de ces retraits un appareil de procédure, notification préalable, motivation écrite, recours devant un juge. Priver quelqu’un de son titre revient à le priver de son revenu, et pareille décision ne se prend pas sans que personne l’ait prise.
Le compte d’une plateforme numérique est le même objet sous un autre nom : il ouvre l’accès à la clientèle et vaut outil de travail. Mais il a la forme juridique d’un contrat commercial et la forme technique d’une ligne dans une base de données. Un indicateur bascule, et le revenu tombe à zéro. Le 21 août 2026, l’autorité néerlandaise de protection des données a mis un prix sur cette dissymétrie.
L’Autoriteit Persoonsgegevens, autorité référente pour Uber en Europe, a prononcé une amende de 824 990 000 euros contre Uber B.V. et Uber Technologies Inc. Instruite avec la CNIL après une plainte collective de la Ligue des droits de l’Homme au nom de 171 chauffeurs, la décision porte sur des exclusions de compte prononcées par la machine. Restent à examiner la sanction, les six années qui y mènent, la règle de 1978 qu’elle applique et l’issue ouverte du recours.
Une sanction de 825 millions d’euros pour des comptes coupés par logiciel
De 2018 à 2022, deux familles d’indicateurs ont gouverné l’accès à l’application : des mesures logicielles du comportement au volant, et les notes laissées par la clientèle. Un soupçon de fraude déclenchait une coupure temporaire, une notation durablement basse une exclusion définitive, l’une comme l’autre sans qu’aucun agent ait eu à se prononcer avant que le revenu s’arrête. L’autorité relève que ces pratiques ont depuis cessé.
« Uber a commis de graves infractions. Les chauffeurs ont été désactivés sans ménagement. D’un instant à l’autre, ils n’avaient plus aucun revenu via Uber. C’est interdit. Un ordinateur ne doit pas prendre seul des décisions ayant des conséquences majeures pour vous. Ces décisions auraient dû être examinées au préalable par un être humain », indique Monique Verdier, responsable de l’autorité. Ce qui est reproché n’est pas la mesure, c’est l’absence de quiconque pour la prendre.
Trois manquements et non un seul
La décision ne repose pas sur le seul article 22 du règlement général sur la protection des données. Elle retient aussi les articles 13 et 14, qui imposent d’informer la personne de l’existence d’une décision automatisée, de sa logique et de ses conséquences. Les griefs se renforcent : faute de savoir ce qui les évaluait, les chauffeurs ne pouvaient ni comprendre ni contester.
L’ordre de grandeur, rétabli
Le plafond est fixé à 4 % du chiffre d’affaires annuel mondial, et l’autorité retient environ 44,5 milliards d’euros pour Uber en 2025 : le maximum s’établissait autour de 1,78 milliard. Les 825 millions pèsent 1,85 % de ce chiffre d’affaires, moins de la moitié du maximum. Rapportés aux 9,8 milliards de dollars de flux de trésorerie disponible du même exercice, ils en absorbent moins d’un dixième. Une infraction grave, sans être maximale.
Six ans entre une plainte parisienne et une décision néerlandaise
Le déclencheur est français : les 171 chauffeurs se sont signalés à la Ligue des droits de l’Homme, qui a saisi la CNIL en 2020 et complété sa plainte en 2021, visant déjà l’information des personnes, les transferts hors de l’Union et les déconnexions automatisées. Le délai tient au guichet unique des articles 56 et 60 : le siège européen d’Uber étant à Amsterdam, l’autorité néerlandaise est chef de file, la CNIL simple autorité associée. Une plainte parisienne se tranche à La Haye, et l’amende alimente le Trésor néerlandais.
Une quatrième sanction, et des procédures toujours ouvertes
C’est la quatrième amende majeure de cette autorité contre le groupe de VTC, dont elle a la charge puisque ses opérations européennes sont néerlandaises. En 2018, 600 000 euros complétés par 400 000 euros de la CNIL avaient suivi la dissimulation du vol de données de 57 millions d’utilisateurs ; le 11 décembre 2023, dix millions ont puni des manquements à l’information des chauffeurs ; le 22 juillet 2024, 290 millions des transferts hors d’Europe sans garanties. Uber a formé un recours ici comme là, et les deux dernières procédures restent pendantes.
L’article 22 du RGPD, un texte de 2016 né en 1978
L’article 22 tient en une phrase : nul ne peut être soumis à une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou l’affectant de manière significative. La suspension d’accès à un outil de travail numérique y entre. Le statut ne joue pas : les chauffeurs sont indépendants, et la perte du revenu d’un prestataire suffit à caractériser l’effet.
L’article 2 de la loi du 6 janvier 1978 interdisait déjà qu’une décision administrative ou privée impliquant une appréciation sur un comportement humain ait pour seul fondement un traitement automatisé donnant une définition du profil de l’intéressé, quand son article 3 créait le droit de contester les raisonnements utilisés. Passé dans la directive de 1995, puis dans l’article 22, ce principe a quarante-huit ans.
Ce que la Cour de justice y a ajouté
Dans SCHUFA Holding, le 7 décembre 2023, la Cour de justice de l’Union européenne juge qu’un score de probabilité est lui-même une décision automatisée dès lors qu’un tiers s’y fie de manière déterminante. Dans Dun & Bradstreet Austria, le 27 février 2025, elle ajoute que l’explication doit permettre de comprendre et de contester, aucun secret d’affaires ne fondant un refus pur et simple. Un modèle dont le motif d’une décision reste irrécupérable cesse d’être déployable là où l’effet est significatif.
Le mot humain et ce qu’il faut pour qu’il tienne
La défense d’un humain dans la boucle avait déjà été écartée. Le 4 avril 2023, saisie par Worker Info Exchange et l’App Drivers and Couriers Union, la cour d’appel d’Amsterdam a jugé que l’attribution des courses, la tarification, la notation, les scores de fraude et la désactivation relèvent de l’article 22, la relecture invoquée n’étant guère plus qu’un acte purement symbolique. En octobre 2023, elle prononçait 584 000 euros d’astreintes.
Ce que la doctrine exige du relecteur
Trois exigences en découlent pour qui bâtit de tels dispositifs : ouvrir à la personne visée le réexamen de son dossier par un agent compétent, exposer en clair le raisonnement du programme et les effets qu’il produit, ménager une voie de contestation aboutissant à un interlocuteur responsable. Les lignes directrices WP251rev.01, endossées par le Comité européen de la protection des données, en fixent la substance : le relecteur doit détenir l’autorité effective de renverser la décision.
Ce que la recherche observe des dispositifs de supervision
La littérature est plus sévère encore. Ben Green a analysé quarante et une politiques imposant une supervision humaine des algorithmes publics : les contrôleurs n’exercent généralement pas la fonction assignée, et l’obligation finit par légitimer des systèmes défaillants tout en dégageant les organisations de leur responsabilité. Ben Wagner parle de quasi-automatisation pour l’humain servant de tampon dans un processus entièrement automatisé.
Le vrai rendez-vous est le 2 décembre 2026
La directive européenne du 23 octobre 2024 sur le travail via une plateforme, publiée au Journal officiel de l’Union le 11 novembre 2024, doit être transposée dans une centaine de jours. Son article 10 dispose que toute décision de limitation, de suspension ou de résiliation du compte d’un travailleur de plateforme est prise par un être humain. Sans condition d’automatisation exclusive, sans test d’effet significatif : le débat qui a occupé six ans de procédure s’efface devant une règle sèche.
La France sans texte de transposition
Répondant le 21 juillet 2026 à une question écrite de la députée Ségolène Amiot, le gouvernement se dit pleinement engagé dans la transposition, tout en indiquant avoir confié en février une mission de concertation à trois personnalités qualifiées, attendue avant la fin du troisième trimestre. Selon ce qu’elle remettra sur la gestion algorithmique, les voies de recours et la présomption de salariat, les plateformes françaises auront quelques semaines pour réécrire leurs procédures, ou aucune.
Le calendrier du règlement IA, décalé d’un cran
Les obligations du règlement sur l’intelligence artificielle visant les systèmes à haut risque de l’annexe III, dont le point 4 couvre la gestion des travailleurs, devaient s’appliquer le 2 août 2026 ; un règlement publié le 24 juillet les a repoussées au 2 décembre 2027. L’amende tombe trois semaines après la date prévue, sous un texte de 2016 : qui a calé sa feuille de route sur le règlement IA regarde la mauvaise échéance.
Le même principe, par deux autres portes
Deux régimes voisins portent la même exigence hors RGPD. Le règlement sur les relations entre plateformes et entreprises, applicable depuis juillet 2020, oblige à motiver et à notifier à l’avance toute suspension d’un compte professionnel ; celui sur les services numériques veut que les réclamations soient traitées sous le contrôle de collaborateurs qualifiés. Le Garante italien avait ouvert la voie en novembre 2024, avec cinq millions d’euros contre Foodinho, filiale de Glovo, pour le traitement illicite des données de 35 000 coursiers.
La fraude comme dispense de contradictoire
Un fil rouge relie ces affaires : la désactivation automatisée est presque toujours affaire de détection de fraude. Score de conduite chez Uber, géolocalisation chez Foodinho, vérification faciale du Real-Time ID Check, qui a exclu le coursier Pa Edrissa Manjang d’Uber Eats en 2021 et conduit à un règlement amiable en mars 2024. Le mot de fraude tient lieu de justification à l’absence de contradictoire, comme si le soupçon dispensait d’expliquer.
Ce qui se jouera dans le recours
L’appel recouvre une mécanique longue : Uber doit d’abord former une réclamation devant l’autorité elle-même, puis, en cas de rejet, saisir le tribunal administratif dans un délai de six semaines, enfin la section du contentieux du Conseil d’État néerlandais. Le recours ne suspend pas de plein droit l’obligation de payer, et les procédures ouvertes en 2023 et 2024 donnent l’ordre de grandeur : plusieurs années.
Le terrain balisé par Deutsche Wohnen et par l’affaire Amazon
Dans l’arrêt Deutsche Wohnen du 5 décembre 2023, la Cour de justice a écarté toute responsabilité objective en matière d’amende RGPD : la sanction suppose un manquement intentionnel ou négligent, et son plafond se calcule sur le chiffre d’affaires du groupe entier. C’est le défaut d’une telle analyse qui a fait tomber les 746 millions d’euros infligés à Amazon en 2021, annulés le 12 mars 2026 par la juridiction luxembourgeoise sans que le fond soit remis en cause.
L’entreprise juge la sanction disproportionnée, affirme qu’elle vise des politiques abandonnées depuis des années et soutient que la plupart des suspensions étaient temporaires, les désactivations définitives comportant une revue humaine. Le dossier français n’est pas refermé, cinq chauffeurs représentés par le syndicat FO-INV ayant déposé une nouvelle plainte. Deux issues restent ouvertes : la décision tient et fixe un standard opposable, ou elle tombe sur la caractérisation de la faute.
Pour qui conçoit des systèmes, la conformité s’apprécie à la date des faits. Un dispositif décommissionné depuis quatre ans expose encore l’organisation, et ce sont ses journaux qui décideront de l’issue. La traçabilité des décisions automatisées est un actif de défense, et le coût réel se paie autant en réingénierie qu’en euros.
Le conseil qu’en tire la profession est juste et insuffisant. Installer un point de validation humaine dans les chaînes de ressources humaines et d’exploitation, où les agents logiciels se répandent, écarte une exposition juridique et réputationnelle réelle, mais rien ne garantit que le valideur en bout de course exerce autre chose qu’une fonction de tampon. La rapidité d’un programme ne dispense pas d’une surveillance humaine, encore faut-il la mesurer autrement que par sa présence à l’organigramme.
Le droit européen a longtemps raisonné en degrés d’automatisation, discutant sans fin de ce qu’était une décision exclusivement automatisée ; la directive de décembre y substitue une affirmation, un être humain décide. Une plainte parisienne tranchée à La Haye au bout de six ans, une amende contestée qui ne sera peut-être jamais encaissée, des obligations repoussées de seize mois : le droit avance à un autre rythme que les systèmes qu’il encadre. Partout où un score coupe l’accès d’un tiers à son revenu, la règle de 1978 attend d’être appliquée.
Aller plus loin
Tout commence par un document à lire dans sa version d’origine : le communiqué Uber fined nearly 825 million euros for automated driver blocking donne le montant au dernier euro, la période visée, la citation de Monique Verdier et la mention que les sanctions de 2023 et de 2024 restent contestées.
La règle appliquée a quarante-huit ans, et sa formulation première se lit dans la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dont l’article 2 interdisait déjà qu’une décision privée appréciant un comportement humain repose sur le seul traitement automatisé, quand l’article 3 ouvrait le droit de contester les raisonnements.
Ce que recouvre l’expression d’intervention humaine n’est écrit nulle part dans le règlement, mais les lignes directrices WP251rev.01 sur la prise de décision individuelle automatisée et le profilage le précisent : le relecteur doit disposer de l’autorité effective de modifier la décision, et procéder à un examen réel plutôt qu’à une validation de forme.
Le précédent judiciaire direct est raconté par ceux qui l’ont obtenu dans Historic digital rights win for WIE and the ADCU over Uber and Ola at Amsterdam Court of Appeal, où la cour qualifie d’automatisées l’attribution des courses, la tarification, la notation et la désactivation, réduisant la relecture invoquée à un geste symbolique.
Le droit à une explication utilisable est consacré dans le communiqué de la Cour de justice sur l’arrêt Dun and Bradstreet Austria, qui juge que l’information sur la logique doit permettre de comprendre et de contester la décision, le secret d’affaires ne fondant jamais un refus pur et simple de s’expliquer.
Le précédent européen le plus proche par ses faits tient dans la décision du Garante italien Rider, Garante privacy: no all’algoritmo incontestabile dai lavoratori, qui sanctionne le traitement des données de 35 000 coursiers et impose jusqu’à la réécriture des messages adressés au livreur bloqué.
L’échéance qui compte pour les cent prochains jours se lit dans la directive (UE) 2024/2831 relative à l’amélioration des conditions de travail dans le cadre du travail via une plateforme, dont l’article 10 exige qu’un être humain prenne toute décision de suspension d’un compte, et protège celui qui la contredit.
L’écart entre l’agenda de l’IA et le droit applicable se mesure dans le règlement (UE) 2026/1744 du 8 juillet 2026 modifiant le règlement sur l’intelligence artificielle, qui repousse au 2 décembre 2027 les obligations relatives aux systèmes à haut risque de l’annexe III, emploi et gestion des travailleurs compris.
Le document opérationnel qui manque à la plupart des projets d’automatisation existe : l’outil Tools meaningful human intervention publié par l’autorité néerlandaise déroule une grille de questions selon quatre axes : les personnes, la technologie et l’interface, le processus, la gouvernance.
L’illusion de la case à cocher est démontée par The Flaws of Policies Requiring Human Oversight of Government Algorithms, où l’analyse de quarante et une politiques publiques établit que les superviseurs n’exercent pas la fonction confiée, et que l’obligation légitime les systèmes qu’elle prétend encadrer.
Lus ensemble, ces documents racontent moins une sanction qu’une lente mise à niveau. Un principe formulé en 1978 contre la peur du fichier, repris par deux textes européens, précisé par des lignes directrices, éprouvé devant une cour d’appel, se voit enfin doté du montant qui le rend audible. Ce qui manquait n’était ni la règle ni la doctrine, mais la démonstration qu’une ligne dans une base de données engage autant qu’une signature au bas d’une décision.