Uber sanctionné 825 M€ pour décisions automatisées: signal fort art. 22 RGPD

Le 24 août 2026, l’Autorité néerlandaise AP, en coopération avec la CNIL, a infligé à UBER B.V. et Uber Technologies Inc. une amende de 824,99 M€ pour désactivation/suspension automatisée de comptes chauffeurs sans garanties adéquates. Enseignement clé: l’article 22 RGPD n’est plus théorique, il s’applique concrètement aux algorithmes métier à fort impact. Voir CNIL, 24/08/2026; AP, 21/08/2026.

L’affaire

• Organisation: Uber B.V. (Pays‑Bas) et Uber Technologies Inc.
• Autorités: Autoriteit Persoonsgegevens (AP, Pays‑Bas) avec coopération de la CNIL (France).
• Date: 21–24 août 2026.
• Montant: 824 990 000 €.
• Griefs: décisions individuelles automatisées désactivant ou suspendant des comptes de chauffeurs, absence de contrôle humain significatif et d’information adéquate, voies de recours insuffisantes.
• Base juridique invoquée: interdiction de principe des décisions fondées « uniquement » sur un traitement automatisé produisant des effets juridiques ou similaires (article 22(1) RGPD), conditions strictes des dérogations (article 22(2)), garanties minimales (article 22(3)) et obligations d’information (articles 13–15 RGPD).
• Source officielle: communiqué CNIL « Décisions automatisées : sanction de près de 825 millions d’euros à l’encontre d’UBER » (24/08/2026); actualité AP « Uber krijgt boete van bijna 825 miljoen euro voor geautomatiseerd blokkeren van chauffeurs » (21/08/2026).

Références:
- CNIL, 24/08/2026: https://www.cnil.fr/fr/decisions-automatisees-sanction-de-pres-de-825-millions-deuros-lencontre-duber
- AP, 21/08/2026: https://autoriteitpersoonsgegevens.nl/ (rubrique Actueel)

Le raisonnement juridique

1) Le cadre RGPD

L’article 22(1) consacre le droit de ne pas être soumis à une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, lorsque cette décision produit des effets juridiques ou affecte de manière similaire et significative la personne. Les seules exceptions (article 22(2)) visent: la nécessité contractuelle (22(2)(a)), l’autorisation par le droit de l’Union ou d’un État membre assortie de garanties (22(2)(b)), et le consentement explicite (22(2)(c)). Dans tous les cas, l’article 22(3) impose des garanties: intervention humaine, possibilité d’exprimer son point de vue et de contester la décision. Texte officiel: EUR‑Lex — Règlement (UE) 2016/679, art. 22 et considérant 71. Voir EUR‑Lex (RGPD) CELEX:32016R0679: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32016R0679.

2) Interprétation EDPB

Les lignes directrices « Automated individual decision‑making and Profiling » (WP251 rev.01, approuvées par l’EDPB le 25/05/2018) structurent l’analyse: qu’est‑ce qu’une « décision »? que signifie « exclusivement automatisée »? quand un effet est‑il « juridique ou similaire »? Elles précisent notamment que le « vernis » humain non significatif ne suffit pas: si la personne « tire fortement » de la recommandation algorithmique, on reste dans le champ de l’article 22(1). Voir EDPB, WP251rev.01: https://www.edpb.europa.eu/documents/guideline/automated-decision-making-and-profiling_fr; voir aussi EDPB, Lignes directrices « DSA‑GDPR interplay » v1/2025, §22: https://www.edpb.europa.eu/system/files/2025-09/edpb_guidelines_202503_interplay-dsa-gdpr_v1_en.pdf.

3) Apport de la CJUE

Le 7 décembre 2023, la CJUE a jugé, dans OQ c. Land Hessen (C‑634/21), qu’un « scoring » automatisé peut constituer une décision au sens de l’article 22(1) lorsqu’un tiers « s’appuie de manière déterminante » sur cette valeur pour conclure/rompre un contrat: c’est une interdiction de principe qui ne suppose pas une invocation préalable individuelle par la personne. Cette affaire a consolidé l’exigence d’un contrôle humain « significatif » et de garanties effectives. Réf.: CJUE, C‑634/21 (07/12/2023) — EUR‑Lex; fiche InfoCuria: https://eur-lex.europa.eu/legal-content/EN/CASE/?uri=CELEX%3A62021CJ0634.

4) Application au cas Uber

Selon la CNIL et l’AP, la (dés)activation de comptes chauffeurs, opérée de manière automatisée, emportait des effets juridiques et économiques majeurs (perte d’accès à la plateforme donc de revenus), sans contrôle humain effectif ni information/recours conformes. Les autorités ont donc appliqué: l’article 22(1) (interdiction de principe), l’article 22(2) (examen strict des exceptions invoquées), l’article 22(3) (défaut de garanties concrètes), et les articles 13–15 (information spécifique sur la logique et les conséquences de la décision automatisée). Sources: CNIL (24/08/2026); AP (21/08/2026); RGPD (EUR‑Lex).

Ce que ça change concrètement

• Les « décisions métier » automatisées à fort impact (suspension d’accès, notation de risque, acceptation/rupture contractuelle, tarification individualisée, filtrage KYC/AML, scoring fraude, modération/suspension de comptes en ligne) entrent dans le périmètre de l’article 22(1) sauf contrôle humain réellement décisionnel.
• La « nécessité contractuelle » (22(2)(a)) est interprétée de manière stricte par l’EDPB: elle ne couvre pas des choix de pure efficience interne si des alternatives moins intrusives existent. Il faut pouvoir le démontrer (analyse écrite).
• Les garanties (22(3)) ne sont pas de la « cosmétique »: l’organisation doit prouver un canal d’intervention humaine compétente, joignable, avec des délais, une traçabilité des échanges, et la capacité réelle d’infirmer l’algorithme.

Pour les secteurs NIS 2 et DORA (banques, assurances, PSF, opérateurs essentiels/importants), la convergence pratique est forte: la gouvernance des modèles décisionnels et la journalisation probante deviennent des obligations de résultat, utiles aussi pour l’ILR (NIS 2) et la CSSF (DORA). Voir ILR — page NIS2: https://www.ilr.lu/secteurs-activites/niss/; CSSF — page « ICT and cyber risk – for DORA entities »: https://www.cssf.lu/en/ict-and-cyber-risk-for-dora-entities/. Pour structurer la gouvernance IA autour des points de décision et des garanties d’intervention humaine, intégrez ces exigences à vos politiques de modèles.

Pièges fréquents

1. « Human in the loop » nominal. Un clic d’approbation sans pouvoir réel, une vérification aléatoire post‑décision, ou un « check » scripté ne suffisent pas. L’EDPB parle d’implication humaine « significative »; la CJUE sanctionne l’appui « déterminant » sur le score. Documentez qui décide, sur quelles bases, et les cas d’infirmation passés. Réfs.: EDPB WP251rev.01; CJUE C‑634/21.
2. Information incomplète. Les mentions légales génériques (« nous utilisons des algorithmes ») ne respectent pas l’article 13(2)(f)/14(2)(g): il faut expliquer la logique sous‑jacente, l’importance et les conséquences envisagées, et pointer le droit à intervention humaine/contestation. Réf.: RGPD, art. 13–15 (EUR‑Lex).
3. Mauvaise qualification de l’exception 22(2)(a). La « nécessité contractuelle » ne se déduit pas du simple fait que l’algorithme optimise l’activité. Prouvez qu’aucune alternative moins intrusive ne permet d’exécuter le contrat et que la finalité est indissociable de la décision automatisée (EDPB).
4. Absence de registre de décisions automatisées. Beaucoup de registres art. 30 n’isolent pas les « points de décision » automatisés, ni les règles métiers associées. Conséquence: impossible de prouver la portée des algorithmes, les tests de biais, ou l’effectivité des recours. Mettez en place un inventaire spécifique (processus, modèles, seuils, données d’entraînement, jeux de test, métriques d’équité).
5. Garanties non mesurables. « Un humain peut être saisi » sans SLA, ni preuves de renversement de décisions, sera considéré comme un faux‑nez. Définissez des KPI: délai médian de réponse humaine; taux d’infirmation; motifs d’annulation; trace d’échanges; conservation des logs décisionnels (justification art. 5(2)/24 et 22(3)).

Sources officielles

• CNIL — « Décisions automatisées : sanction de près de 825 millions d’euros à l’encontre d’UBER » (24 août 2026): https://www.cnil.fr/fr/decisions-automatisees-sanction-de-pres-de-825-millions-deuros-lencontre-duber
• Autoriteit Persoonsgegevens (AP, NL) — « Uber krijgt boete van bijna 825 miljoen euro voor geautomatiseerd blokkeren van chauffeurs » (21 août 2026) — rubrique Actueel: https://autoriteitpersoonsgegevens.nl/ (liste des actualités; publication datée)
• RGPD — Texte officiel (EUR‑Lex), Article 22 et considérant 71: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32016R0679
• EDPB — Lignes directrices « Automated individual decision‑making and Profiling » (WP251 rev.01, endossées le 25/05/2018): https://www.edpb.europa.eu/documents/guideline/automated-decision-making-and-profiling_fr
• CJUE — OQ c. Land Hessen (C‑634/21, 7 décembre 2023): fiche EUR‑Lex/InfoCuria: https://eur-lex.europa.eu/legal-content/EN/CASE/?uri=CELEX%3A62021CJ0634

En synthèse, la sanction Uber verrouille la lecture la plus exigeante de l’article 22: lorsqu’une décision affecte substantiellement des individus, l’automatisation « seule » est prohibée sauf exception strictement démontrée et assortie de garanties tangibles. Au Luxembourg, toute organisation utilisant des algorithmes de suspension d’accès, de scoring ou de tarification individualisée doit dès maintenant inventorier ses « points de décision », établir un véritable circuit d’intervention humaine, et prouver — par la documentation et les journaux — que les sauvegardes prévues à l’article 22(3) fonctionnent dans la réalité. Pour une mise en conformité locale, la page DORA Luxembourg peut guider l’alignement gouvernance/traçabilité.

Article d'expertise Luxgap. Pour un cadrage personnalisé sur ce sujet, contactez-nous ou configurez votre devis en ligne.