Les autorités néerlandaises de protection des données ont infligé une amende d’un montant proche de 1 milliard d’euros à Uber. Le motif central concerne les suspensions automatisées Uber de comptes de conducteurs, parfois jusqu’à une suppression définitive, sans contrôle humain permettant de vérifier d’éventuelles erreurs.
Selon la décision de l’autorité, des traitements automatiques ont conduit à des conclusions et à des conséquences directes sur la capacité des conducteurs à travailler et à gagner leur vie. L’affaire met en lumière les limites juridiques de la prise de décision automatisée en vertu du RGPD, notamment lorsqu’aucune vérification n’est prévue.
Une amende de 825 millions d’euros
La Data Protection Authority néerlandaise a annoncé une sanction de 825 millions d’euros (environ 964 millions de dollars). D’après l’autorité, Uber aurait enfreint le Règlement général sur la protection des données (RGPD) de l’Union européenne.
Le régulateur estime que certaines décisions ne disposaient pas du niveau de contrôle requis. En particulier, l’UE encadre strictement les traitements qui aboutissent à des décisions pleinement automatisées, surtout lorsqu’elles produisent des effets importants pour les personnes concernées.
Des décisions entièrement automatisées
Au cœur du dossier figure l’usage de logiciels automatisés pour suspendre les comptes des conducteurs. L’autorité indique que ces suspensions pouvaient être permanentes et qu’aucune procédure de vérification humaine n’était mise en place pour corriger d’éventuelles erreurs avant l’issue finale.
Autrement dit, la décision n’aurait pas été suffisamment “arbitrée” par des humains capables d’examiner le contexte et de valider la justesse du résultat. Pour le régulateur, cette absence de contrôle est problématique au regard des exigences du RGPD.
Les violations ont eu lieu entre 2018 et 2022
La période examinée par l’autorité s’étend de 2018 à 2022. C’est sur ces années que portaient les constats relatifs aux politiques et aux mécanismes utilisés pour gérer les comptes conducteurs.
Le régulateur indique également qu’une partie des mesures concernait des politiques historiques, ensuite abandonnées.
Un manque d’information pour les conducteurs
Au-delà du volet “automatisation”, l’autorité reproche aussi à Uber une communication insuffisante. Selon la décision, Uber n’aurait pas correctement informé les conducteurs sur l’existence d’une prise de décision automatisée.
Dans une logique RGPD, les personnes doivent comprendre comment leurs données sont utilisées et quand des décisions significatives sont prises par des systèmes automatisés. L’absence d’information claire renforce le risque de non-conformité, car elle limite la capacité des personnes à exercer leurs droits.
Uber conteste la sanction et annonce un recours
Uber affirme ne pas être d’accord avec la décision et le montant de l’amende. L’entreprise a indiqué qu’elle fera appel afin de contester la sanction.
Dans une déclaration écrite, Uber soutient avoir examiné des politiques “historiques” qui auraient été abandonnées depuis plusieurs années. La société ajoute que les décisions qui affectent la capacité des conducteurs à gagner leur vie sont traitées avec sérieux et que l’organisation s’engage en faveur d’un traitement équitable.
Uber précise notamment qu’elle met en place des éléments tels que des revues humaines, des garde-fous robustes, et la possibilité pour les conducteurs de faire appel s’ils pensent qu’une erreur a été commise.
Pourquoi le RGPD limite les décisions sans contrôle humain
Le RGPD n’interdit pas toute automatisation. En revanche, il impose un cadre strict lorsque des systèmes prennent des décisions ayant des effets importants. Pour les suspensions automatisées Uber, le régulateur considère que l’absence de contrôle humain préalable à la décision finale ne répond pas aux exigences de protection.
Dans la pratique, cela signifie que des mécanismes d’examen, des garanties supplémentaires et un droit effectif de contestation sont essentiels. Sans ces éléments, le risque d’erreur peut rester non corrigé, et les personnes concernées peuvent se retrouver pénalisées de manière disproportionnée.
Une quatrième amende pour Uber aux Pays-Bas
Cette sanction n’est pas la première. L’autorité néerlandaise indique qu’il s’agit de la quatrième amende infligée à Uber.
La plus élevée remonte à 2024, lorsque l’entreprise a été sanctionnée d’environ 290 millions d’euros. Le reproche portait sur la transmission de données personnelles de conducteurs européens vers les États-Unis, avec une protection jugée insuffisante.
À elles seules, ces affaires montrent que les autorités européennes surveillent de près les pratiques de traitement des données, y compris lorsqu’il s’agit de systèmes opérationnels ayant un impact direct sur les personnes.
Ce que les entreprises peuvent retenir
Au-delà du cas Uber, la décision rappelle plusieurs points clés pour toute organisation qui automatise des décisions concernant des individus.
- Prévoir un contrôle adéquat lorsque la décision affecte fortement la personne.
- Garantir l’information : expliquer quand et comment une décision automatisée intervient.
- Offrir des recours concrets pour contester une décision potentiellement erronée.
- Évaluer la période et l’historique : même des politiques “passées” peuvent être analysées si elles ont produit des effets sur des durées couvertes.
Conclusion
Les autorités néerlandaises ont sanctionné Uber à hauteur de 825 millions d’euros, reprochant des suspensions automatisées Uber de comptes conducteurs parfois définitives et dépourvues de contrôle humain avant la décision. L’affaire souligne aussi un manquement à l’obligation d’information concernant ces décisions automatisées.
Uber conteste la sanction et annonce son intention de faire appel, tandis que le dossier renforce, pour le reste du secteur, l’attention portée aux garanties humaines et aux droits des personnes lorsque l’automatisation devient déterminante.
