UBER sanctionné à près de 825 millions d'euros pour des décisions automatisées illicites

La CNIL a annoncé le 24 août 2026 qu'en coopération avec l'autorité néerlandaise de protection des données, une amende de 824 990 000 euros a été infligée aux sociétés UBER B.V. et UBER TECHNOLOGIES INC. Cette sanction fait suite à des décisions individuelles automatisées prises à l'encontre des chauffeurs de la plateforme, en violation du Règlement général sur la protection des données (RGPD).

Une procédure initiée dès 2020

L'affaire remonte à une plainte collective déposée en 2020 auprès de la CNIL par l'association La Ligue des droits de l'Homme, représentant plus de 170 chauffeurs UBER. Complétée en 2021, cette plainte portait sur plusieurs griefs : le défaut d'information des personnes concernées, les transferts de données personnelles hors de l'Union européenne, ainsi que les décisions automatisées de déconnexion temporaire et définitive des chauffeurs de la plateforme.

Cette nouvelle amende de 824 990 000 euros constitue le troisième volet de sanctions prononcées dans ce dossier. L'autorité néerlandaise avait déjà infligé une première amende de 10 millions d'euros le 11 décembre 2023 pour des manquements à l'obligation d'information, puis une deuxième amende de 290 millions d'euros le 22 juillet 2024 pour des transferts illicites de données hors de l'Union européenne.

Des désactivations automatiques sans intervention humaine

Le cœur de cette troisième sanction porte sur les désactivations automatiques de comptes. L'autorité néerlandaise a établi que deux types de décisions constituaient des décisions individuelles automatisées au sens du RGPD :

• La désactivation temporaire du compte en cas de suspicion de fraude
• La désactivation temporaire ou définitive du compte en cas de notation basse attribuée par les clients

Dans les deux cas, l'absence totale d'intervention humaine dans le processus décisionnel a été caractérisée. Or, ces décisions affectent significativement les chauffeurs : un compte bloqué signifie une impossibilité immédiate d'effectuer des courses et donc de générer des revenus.

Le mécanisme de coopération européenne en action

Puisque UBER dispose de son établissement principal aux Pays-Bas, l'autorité néerlandaise était compétente pour conduire les investigations, conformément au mécanisme du guichet unique prévu par le RGPD. La CNIL a néanmoins coopéré étroitement tout au long de la procédure : lors des contrôles, lors de l'analyse des preuves, puis lors de l'examen du projet de décision.

Ce que cette décision implique pour les entreprises

Cette sanction envoie un signal fort aux entreprises qui recourent à des algorithmes pour prendre des décisions affectant leurs collaborateurs, prestataires ou clients. Le RGPD encadre strictement les décisions automatisées produisant des effets juridiques ou affectant significativement les personnes concernées. Toute entreprise utilisant des outils algorithmiques — notamment pour gérer des accès, des contrats ou des relations commerciales — doit s'assurer qu'une intervention humaine réelle est prévue dans le processus, et que les personnes concernées sont correctement informées de l'existence de telles décisions et de leurs droits.