L'APD néerlandaise inflige une amende de 825 millions d'euros à Uber pour violation du RGPD concernant les conducteurs

Le régulateur néerlandais frappe Uber d'une sanction record

Le 21 août 2026, l'Autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) a annoncé qu'elle infligeait une amende de 825 millions d'euros à Uber Technologies Inc., soit environ 966 millions de dollars, pour violation du règlement général européen sur la protection des données. L'amende RGPD infligée à Uber concerne l'utilisation par l'entreprise de systèmes automatisés pour suspendre et désactiver des comptes de conducteurs sans donner à ces conducteurs un préavis approprié ni une voie de recours significative pour contester la décision.

Cette sanction figure parmi les mesures d'application du RGPD les plus importantes jamais prononcées et s'ajoute à une liste croissante d'amendes qu'Uber a déjà subies de la part du même régulateur. En 2024, l'APD néerlandaise avait infligé à Uber une amende de 290 millions d'euros pour des transferts de données inappropriés vers les États-Unis, estimant que l'entreprise n'avait pas satisfait aux exigences strictes du RGPD en matière de transfert de données personnelles hors de l'Espace économique européen. Cette nouvelle amende, beaucoup plus lourde, suggère que les régulateurs néerlandais voient un schéma récurrent plutôt qu'une simple lacune ponctuelle de conformité.

Pourquoi la prise de décision automatisée est sous surveillance

Le RGPD accorde aux individus des protections spécifiques lorsque les entreprises utilisent des systèmes automatisés pour prendre des décisions qui les affectent de manière significative, notamment le droit de recevoir une explication et le droit de demander un examen humain. Désactiver le compte d'un conducteur, le privant ainsi de ses revenus, sans préavis transparent ni procédure d'appel, est exactement le type de décision automatisée que ce règlement visait à encadrer.

Pour une entreprise comme Uber, dont le modèle économique repose largement sur la gestion algorithmique de sa main-d'œuvre de conducteurs, cela crée une tension structurelle. Les systèmes automatisés sont efficaces pour signaler la fraude, les violations de sécurité ou les manquements à la politique à grande échelle, mais le RGPD exige que cette efficacité ne se fasse pas au détriment du droit d'une personne à comprendre et à contester les décisions prises à son sujet. Lorsque les régulateurs constatent que les mécanismes de préavis et d'appel étaient inadéquats ou inexistants, les amendes qui en résultent peuvent être sévères, précisément parce que la violation touche à une protection fondamentale plutôt qu'à un simple manquement administratif et technique.

Partie d'un schéma plus large de responsabilité en matière de données

Cette amende n'existe pas de manière isolée. Les régulateurs et les tribunaux de tous les secteurs sont de plus en plus disposés à imposer des sanctions substantielles lorsque les entreprises ne protègent pas la collecte, le traitement ou l'utilisation des données personnelles pour prendre des décisions importantes. Dans le secteur de l'éducation, par exemple, le règlement de 17,25 millions de dollars de PowerSchool concernant le suivi des étudiants par Naviance a montré comment des données collectées discrètement, en l'occurrence l'activité des étudiants, peuvent déclencher une exposition juridique majeure une fois révélées. Les défaillances en matière de protection des données ne se limitent pas non plus à un usage intentionnel inapproprié ; des incidents comme les données client d'Iliad Italia mises en vente sur le dark web démontrent comment des données personnelles peuvent se retrouver exposées par le biais de violations plutôt que par une politique d'entreprise, tout en laissant les entreprises confrontées à des conséquences réglementaires et réputationnelles.

Pris ensemble, ces cas pointent vers un thème constant : les organisations qui traitent les données personnelles, ou les décisions automatisées fondées sur ces données, comme une question de conformité à faible priorité se retrouvent de plus en plus du mauvais côté de sanctions à huit et neuf chiffres.

Ce que cela signifie pour vous

Si vous conduisez pour Uber ou une plateforme similaire, cette affaire est un rappel que vous disposez de droits au titre du RGPD (si vous êtes dans l'UE) concernant les décisions prises à propos de votre compte par des systèmes automatisés. Vous avez généralement droit de savoir pourquoi une décision automatisée a été prise et de demander qu'un humain l'examine, et non seulement un algorithme.

Pour les utilisateurs quotidiens d'applications de covoiturage et d'autres plateformes qui s'appuient fortement sur la gestion de comptes pilotée par les données, cette amende souligne également à quel point votre relation avec ces entreprises passe par des systèmes automatisés que vous ne voyez jamais directement. Il vaut la peine d'examiner périodiquement les autorisations et l'accès aux données que vous avez accordés aux services basés sur des applications, et de comprendre qu'une amende aussi importante est un signe que les régulateurs surveillent activement l'utilisation de ces systèmes, et non la preuve que les pratiques sous-jacentes ont déjà changé.

Points à retenir concrets

• Si vous êtes un travailleur de l'économie à la demande dans l'UE, sachez que le RGPD vous donne le droit à une explication et à un examen humain lorsqu'un système automatisé prend une décision importante concernant votre compte ou vos revenus.
• Conservez des traces de toute suspension de compte, notification de désactivation ou correspondance d'appel que vous recevez d'une plateforme ; cette documentation est importante si vous devez un jour contester une décision.
• Examinez les paramètres de confidentialité et les autorisations de données que vous avez accordés aux applications de travail à la demande, de livraison ou de covoiturage, et révoquez les accès dont vous n'avez plus besoin.
• Surveillez les mises à jour réglementaires sur cette affaire, car des amendes RGPD de cette ampleur déclenchent souvent des appels et peuvent prendre des années à être pleinement résolues, ce qui peut affecter la façon dont les plateformes fonctionnent à l'avenir.

L'amende RGPD infligée à Uber est un marqueur important dans l'effort continu de l'Europe pour tenir les grandes plateformes technologiques responsables de la manière dont les systèmes automatisés affectent les moyens de subsistance de personnes réelles. Que cela change immédiatement les pratiques d'Uber reste à voir, mais cela ajoute un poids financier réel à l'argument selon lequel les droits à la protection des données s'appliquent tout autant aux décisions algorithmiques qu'au traitement traditionnel des données.