Premier échange de 30 minutes, sans engagement.
Demande d'information
· Nice et
100 km à la ronde, à distance partout en France.
Le 24 août 2026, la CNIL a annoncé qu’Uber avait été sanctionné à hauteur de 824 990 000 euros par l’autorité néerlandaise de protection des données, l’Autoriteit Persoonsgegevens (AP), pour avoir désactivé des comptes de chauffeurs par voie automatisée, sans intervention humaine réelle dans le processus de décision. La décision a été rendue le 21 août 2026. Elle intéresse bien au-delà du secteur des plateformes : le fondement juridique retenu, l’article 22 du règlement général sur la protection des données, s’applique à toute organisation qui laisse un système décider seul du sort d’une personne — un candidat, un salarié, un prestataire.
Selon la CNIL, Uber a pris « des décisions individuelles automatisées concernant les chauffeurs de sa plateforme », notamment des désactivations de comptes en cas de suspicion de fraude ou de notation trop basse. L’autorité relève « l’absence totale d’intervention humaine dans le processus de décision ». Les faits couvrent la période 2018-2022. À la sanction pour décision automatisée s’ajoute un manquement à l’obligation de transparence : les chauffeurs concernés recevaient des messages standardisés invoquant une violation des règles de la communauté ou des « anomalies », sans que les motifs précis leur soient exposés.
Le montant, 824 990 000 euros, place cette décision parmi les plus lourdes jamais prononcées sur le fondement du RGPD. Il s’agit de la troisième sanction prononcée contre Uber dans ce dossier de plaintes de chauffeurs, après 10 millions d’euros le 11 décembre 2023 sur l’information des chauffeurs et 290 millions d’euros le 22 juillet 2024 sur les transferts de données hors Union européenne. Uber conteste : un porte-parole de l’entreprise déclare être « en profond désaccord avec cette décision et cette amende disproportionnée », indique que les pratiques visées ont été abandonnées et soutient que les désactivations définitives n’ont jamais été entièrement automatisées. Un recours a été annoncé, et l’amende est suspendue pendant l’appel. La décision n’est donc pas définitive.
Le point le plus notable pour un lecteur français tient à l’origine du dossier. La CNIL indique avoir été saisie en 2020 d’une plainte collective déposée par la Ligue des droits de l’Homme au nom de plus de 170 chauffeurs, plainte complétée en 2021. Le mécanisme du guichet unique prévu par le RGPD a conduit à confier l’instruction à l’autorité néerlandaise, Uber ayant son établissement principal aux Pays-Bas. La CNIL précise avoir coopéré étroitement avec l’AP « au moment des contrôles et de l’analyse des preuves obtenues » puis « lors de l’examen du projet de décision ».
Autrement dit : une plainte déposée en France par des travailleurs français a produit, six ans plus tard, une sanction rendue à Amsterdam. Pour un employeur établi en France mais dont la maison mère ou le responsable de traitement est situé ailleurs en Europe, le schéma est le même à l’envers — la localisation du siège ne met à l’abri ni des plaintes ni de leur instruction.
L’article 22, paragraphe 1, du RGPD pose que la personne concernée « a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire ». Le paragraphe 2 ménage trois exceptions : la nécessité pour la conclusion ou l’exécution d’un contrat (point a), l’autorisation par le droit de l’Union ou d’un État membre, à condition que ce droit prévoie lui-même des mesures appropriées de sauvegarde (point b), et le consentement explicite (point c). Le paragraphe 3 impose alors des garanties, mais seulement « dans les cas visés au paragraphe 2, points a) et c) » : le droit d’obtenir une intervention humaine de la part du responsable du traitement, celui d’exprimer son point de vue et celui de contester la décision. Le point b), lui, renvoie aux garanties que doit prévoir le texte habilitant.
Deux mots portent tout le contentieux. « Exclusivement » d’abord : une supervision humaine qui se borne à valider mécaniquement une sortie de modèle ne fait pas sortir le traitement du champ de l’article 22. « De manière significative » ensuite : la privation d’accès à un outil de travail, la rupture d’une relation contractuelle, le refus d’une candidature entrent sans difficulté dans cette catégorie.
La Cour de justice de l’Union européenne avait posé un jalon décisif dans son arrêt du 7 décembre 2023, OQ contre Land Hessen (affaire C-634/21, dite SCHUFA). Elle y juge que l’établissement automatisé d’un score de solvabilité constitue lui-même une décision au sens de l’article 22 dès lors que ce score détermine de façon déterminante la décision finale prise par un tiers. La conséquence pratique est large : il ne suffit pas qu’un être humain signe la décision en bout de chaîne si le score produit par le système commande en fait le résultat.
La décision Uber s’inscrit dans cette continuité et lui donne un ordre de grandeur financier. Le message opérationnel tient en une phrase : une intervention humaine formelle mais dépourvue de marge d’appréciation réelle ne protège pas.
Il faut ici corriger une confusion fréquente dans la presse professionnelle depuis le début du mois d’août. Le règlement (UE) 2024/1689 sur l’intelligence artificielle classe en « haut risque », à son annexe III, les systèmes utilisés pour le recrutement, la sélection de candidats, les décisions de promotion et de rupture, l’allocation de tâches et le suivi des performances. Mais ces obligations ne sont pas applicables aujourd’hui.
Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « Digital Omnibus on AI », entré en vigueur le 27 juillet 2026, a reporté leur entrée en application. La Commission européenne indique désormais deux échéances : le 2 décembre 2027 pour les systèmes autonomes relevant de l’annexe III — soit le bloc emploi et ressources humaines — et le 2 août 2028 pour les systèmes intégrés à des produits relevant de l’annexe I. Le même texte assouplit l’article 4 sur la culture de l’IA : les fournisseurs et déployeurs doivent « prendre des mesures pour soutenir le développement » d’un niveau suffisant de littératie en IA parmi leurs personnels, là où la rédaction initiale visait à « garantir, dans toute la mesure du possible » ce niveau. Le texte amendé précise même que l’obligation n’impose pas de garantir un niveau déterminé de maîtrise de l’IA. En revanche, les obligations de transparence de l’article 50 s’appliquent bien depuis le 2 août 2026, sans report.
Ce décalage crée une situation qu’il faut nommer clairement : sur le périmètre RH, l’AI Act laisse un peu plus de quinze mois de répit, mais le RGPD sanctionne déjà, et il le fait à des niveaux que l’AI Act n’atteindra pas dans la plupart des cas. Une organisation qui aurait décidé d’attendre décembre 2027 pour auditer ses outils de décision RH aurait mal identifié son risque principal.
Un troisième texte complète le tableau. La directive (UE) 2024/2831 du 23 octobre 2024 relative à l’amélioration des conditions de travail dans le cadre du travail via une plateforme comporte un chapitre entier sur la gestion algorithmique — information des travailleurs, limitation des traitements de données, supervision humaine des décisions importantes. Son chapitre III, articles 7 à 14, couvre la limitation des traitements de données, l’analyse d’impact, la transparence, le contrôle humain, le droit d’explication et de contestation, ainsi que l’information des représentants du personnel. Sa transposition est due avant le 2 décembre 2026 et n’est pas encore intervenue en France : en réponse à la question écrite n° 14781 à l’Assemblée nationale, publiée le 21 juillet 2026, le gouvernement indique qu’aucun projet de loi n’a été présenté en Conseil des ministres et qu’une mission de concertation, nommée en février 2026, doit rendre ses conclusions avant la fin du troisième trimestre 2026.
La lecture du dossier Uber comme une affaire de plateformes serait une erreur de cadrage. Les traitements exposés à l’article 22 dans une entreprise classique sont nombreux et souvent déployés sans revue juridique :
Dans chacun de ces cas, la question à se poser n’est pas « avons-nous un humain dans la boucle ? » mais « cet humain dispose-t-il d’une information suffisante, d’une marge d’appréciation réelle et de la capacité effective de renverser la sortie du système ? ». C’est la logique que consacre l’arrêt SCHUFA, et c’est celle que retiennent les autorités de contrôle et les lignes directrices du Comité européen de la protection des données.
Pour un dirigeant ou un DRH, quatre chantiers se dégagent, dans cet ordre de priorité.
Recenser. Établir l’inventaire des traitements RH comportant une composante automatisée de décision ou de scoring, y compris ceux embarqués dans des outils achetés sur étagère et ceux qu’aucune direction n’a formellement validés. Ce recensement est le préalable à toute analyse : il est fréquent qu’il révèle des usages ignorés du DPO.
Qualifier. Pour chaque traitement identifié, déterminer s’il produit un effet juridique ou significatif sur la personne, et sur quelle base de l’article 22, paragraphe 2, il pourrait se fonder. Documenter l’analyse d’impact relative à la protection des données lorsqu’elle est requise. Une qualification écrite, datée et motivée est ce qui sera examiné en cas de contrôle.
Rendre la supervision humaine démontrable. Formaliser qui décide, sur quelles informations, dans quel délai, et avec quelle capacité documentée d’écarter la recommandation du système. Conserver la trace des cas où la décision humaine a effectivement divergé de la sortie automatisée : c’est la preuve la plus difficile à fabriquer après coup, et la plus convaincante.
Ouvrir des voies de recours réelles. Informer les personnes concernées de la logique sous-jacente au traitement, leur donner un canal identifié pour exprimer leur point de vue et contester la décision, et instruire ces contestations. Le manquement de transparence retenu contre Uber ne portait pas sur l’absence de politique de confidentialité, mais sur des motifs de désactivation trop vagues pour permettre une contestation utile.
Deux points de calendrier méritent d’être portés en comité de direction : la transposition de la directive plateformes, attendue avant le 2 décembre 2026, et l’échéance du 2 décembre 2027 pour les obligations « haut risque » de l’AI Act sur le périmètre RH. Les travaux de recensement et de documentation engagés aujourd’hui au titre du RGPD serviront directement à ces deux échéances.
Le règlement (UE) 2026/1744 reporte les obligations haut risque RH à décembre 2027 et assouplit l'article 4. Ce qui s'applique vraiment depuis le 2 août 2026.
Le règlement européen sur l'IA s'applique depuis le 2 août 2026, mais la loi française désignant les autorités de contrôle n'est toujours pas votée.
La CNIL a rappelé le 19 août 2026 les règles du scoring de crédit. Elles s'appliquent déjà, mot pour mot, au tri automatisé des candidatures en entreprise.
Sans engagement, sans diaporama. On regarde où vous en êtes, et je vous dis franchement si nous sommes le bon interlocuteur.
Demande d'information
Réponse sous 24 heures ouvrées. Si vous préférez parler de vive voix, réservez plutôt un créneau de 30 minutes — c'est souvent plus rapide.