[RGPD] Amende record : Uber sanctionné pour décisions automatisées sans supervision humaine

Le 21 août 2026, l'autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens, AP) a infligé à Uber B.V. et Uber Technologies Inc. une amende de 824 990 000 euros.
En cause : des décisions individuelles entièrement automatisées prises à l'encontre des chauffeurs de la plateforme, notamment des désactivations de compte déclenchées par des soupçons de fraude ou par de faibles évaluations, sans intervention humaine réelle. La CNIL, associée au dossier, a publié sa communication le 24 août.

Ce montant en fait la deuxième amende RGPD la plus élevée jamais prononcée, derrière les 1,2 milliard d'euros infligés à Meta en 2023. Elle représente environ 1,85 % du chiffre d'affaires mondial d'Uber (44,5 milliards d'euros en 2025), soit près de la moitié du plafond légal de 4 % prévu par le règlement.

Ce que l'AP reproche à Uber

L'origine de l'affaire remonte à 2020 : 171 chauffeurs français, accompagnés par la Ligue des droits de l'Homme, avaient saisi la CNIL après avoir vu leur compte suspendu ou définitivement désactivé. Uber étant établi aux Pays-Bas, l'AP est devenue autorité chef de file au titre du mécanisme de guichet unique, la CNIL participant à l'instruction (analyse des preuves, examen du projet de décision).

Sur la période 2018 à 2022, l'enquête a établi que les systèmes automatisés d'Uber déclenchaient :

• des suspensions temporaires de compte en cas de soupçon de fraude, notamment de « détours » suspects ;
• des désactivations, temporaires ou définitives, fondées sur des évaluations clients jugées trop faibles.

Dans les deux cas, aucun être humain n'examinait la situation avant que la sanction ne s'applique, ce qui avait un effet immédiat sur le revenu des chauffeurs concernés.

L'AP relève par ailleurs un manquement à l'obligation de transparence : les chauffeurs n'étaient pas suffisamment informés de l'existence et de la logique de ce traitement automatisé.

Le cœur du dossier : l'article 22 du RGPD

L'article 22 du RGPD pose un principe précis : une personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, dès lors que cette décision produit des effets juridiques la concernant ou l'affecte de manière significative de façon similaire. Pour l'AP, couper l'accès d'un chauffeur à la plateforme, et donc à son revenu, entre dans cette catégorie.

La vice-présidente de l'AP, Monique Verdier, a formulé le principe ainsi : un ordinateur ne devrait pas prendre seul des décisions ayant des conséquences importantes pour une personne ; ces décisions doivent d'abord être examinées par un être humain. L'autorité précise ce qu'elle entend par « intervention humaine » : un pouvoir réel d'infirmer la décision algorithmique, effectivement exercé, et non une simple validation de forme apposée sur une sortie machine.

La décision est particulièrement pertinente alors que les organisations automatisent de plus en plus leurs processus et déploient l'IA. Le message de l'AP est clair : la supervision humaine n'est pas une simple case à cocher sur une checklist de conformité, mais doit être réellement effective.

Les suites de l'affaire

Uber a annoncé faire appel, ce qui suspend l'exécution de l'amende, probablement pour plusieurs années. L'entreprise conteste notamment que les désactivations définitives aient été entièrement automatisées, indique que les suspensions pour fraude étaient généralement brèves, avance que seuls 126 chauffeurs auraient été définitivement désactivés en Europe en 2021, et affirme avoir depuis fait évoluer ses politiques pour intégrer une revue humaine et une voie de recours.

Le litige portera donc en grande partie sur ce qui constitue, en pratique, une intervention humaine réelle, une question qui dépasse le seul cas d'Uber.

Ce dossier s'inscrit dans un historique de sanctions déjà prononcées contre Uber au titre du RGPD : 600 000 euros en 2018, 10 millions d'euros en 2023 pour défaut d'information des chauffeurs, et 290 millions d'euros en 2024 pour des transferts de données hors UE, ces deux dernières décisions étant également contestées. Le cumul dépasse désormais le milliard d'euros.

Ce que les organisations peuvent en retenir

Pour toute organisation qui automatise des décisions ayant un impact sur des personnes (clients, salariés, prestataires, chauffeurs, candidats à l'embauche), cette décision précise plusieurs attentes concrètes, au-delà du cas des plateformes de transport.

Documenter une procédure ne suffit pas : il convient de pouvoir démontrer, à l'aide d'éléments opérationnels (journaux d'intervention, taux de décisions effectivement révisées, cas où la décision automatisée a été infirmée), que l'intervention humaine existe dans les faits.

La personne chargée de la validation doit disposer du temps, des informations et de l'autorité nécessaires pour modifier ou annuler la décision ; une charge de travail qui ne permet qu'un examen superficiel ne constitue pas une intervention significative au sens retenu par les régulateurs.

Il est également recommandé de revoir la cartographie des traitements automatisés à impact significatif (accès à un service, à un revenu, à un emploi, à un crédit) afin de vérifier leur qualification au regard de l'article 22, et de fournir aux personnes concernées une information adéquate sur la logique du traitement.

Enfin, à mesure que les systèmes de décision automatisée et l'IA se déploient, l'écart entre la politique définie et le comportement réel du système constitue un point de vigilance central. Une politique de conformité écrite, du type « un humain valide la décision », n'a de valeur que si le système en production l'applique réellement.

L'écart de conformité se situe alors entre le document de procédure et le comportement effectif du pipeline technique. Une analyse d'impact qui décrit un processus de révision humaine, alors que le système désactive automatiquement les comptes sans jamais solliciter cette révision, ne reflète pas la pratique réelle.

En résumé

Cette amende de 825 millions d'euros illustre l'application concrète de l'article 22 du RGPD à un cas de décision automatisée. Elle rappelle qu'une intervention humaine formelle, sans pouvoir réel de modifier la décision, ne suffit pas à satisfaire les exigences du règlement, et que les organisations qui automatisent des décisions à fort impact doivent pouvoir en apporter la preuve opérationnelle.