Uber fait face à l'une des plus lourdes sanctions en matière de vie privée jamais prononcées en Europe. L'Autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) a infligé une amende de 825 millions d'euros, soit environ 966 millions de dollars, à l'entreprise de VTC pour son utilisation de systèmes automatisés visant à suspendre des comptes de conducteurs. Cette sanction se classe au deuxième rang des amendes les plus élevées jamais imposées en vertu du Règlement général sur la protection des données (RGPD), soulignant à quel point les régulateurs européens prennent au sérieux la prise de décision algorithmique qui affecte les moyens de subsistance des personnes.

Ce que le régulateur néerlandais a constaté

Selon l'Autorité néerlandaise de protection des données, Uber s'appuyait sur un logiciel automatisé pour signaler et suspendre des comptes de conducteurs, un processus qui privait les conducteurs de leur capacité à travailler sur la plateforme, parfois sans examen humain adéquat ni voie claire pour contester la décision. Les actions d'application du RGPD de cette ampleur sont rares, et le montant de cette amende signale que les régulateurs considèrent les désactivations automatisées de comptes comme un grave problème de protection des données, et non simplement comme un litige de service client. Comme détaillé dans la couverture précédente de l'amende GDPR pour interdictions imposée à Uber, la sanction découle directement de la manière dont les algorithmes de l'entreprise traitaient les données personnelles pour prendre des décisions conséquentes concernant les conducteurs, sans transparence ni contrôle suffisants.

Cette affaire met en lumière une tension récurrente dans l'économie des plateformes : les entreprises s'appuient de plus en plus sur des systèmes automatisés pour gérer de grandes masses de travailleurs à grande échelle, mais ces mêmes systèmes peuvent prendre des décisions qui bouleversent des vies, comme couper les revenus de quelqu'un, avec peu de visibilité sur la manière ou la raison d'une telle décision.

Pourquoi les suspensions automatisées déclenchent un examen au titre du RGPD

Le RGPD confère aux individus des droits spécifiques en matière de prise de décision automatisée. En vertu de ce règlement, les personnes ont généralement le droit de ne pas être soumises à une décision fondée uniquement sur un traitement automatisé lorsque cette décision produit des effets juridiques ou des conséquences similaires significatives pour elles. Suspendre le compte d'un conducteur, et donc sa capacité à gagner un revenu, relève clairement de cette catégorie.

Les régulateurs ont constamment résisté aux entreprises qui utilisent des algorithmes de type « boîte noire » pour prendre ce genre de décisions sans offrir aux personnes concernées une possibilité réelle d'examen humain ou d'explication de la décision. Cette amende infligée à Uber s'inscrit dans cette tendance plus large des actions d'application du RGPD ciblant les systèmes automatisés qui manquent de transparence, plutôt que de sanctionner des violations de données ou des incidents de piratage.

Pour une entreprise opérant dans des dizaines de marchés européens, une amende de cette ampleur — la deuxième plus lourde sanction RGPD jamais enregistrée — est un signal clair que les autorités de protection des données sont prêtes à imposer de lourdes conséquences financières lorsque des processus automatisés sont jugés violer les droits des individus.

Ce que cela signifie pour vous

Si vous conduisez pour une plateforme d'économie de plateforme, si vous travaillez avec un service qui utilise la gestion automatisée de comptes, ou si vous utilisez simplement des applications qui prennent des décisions algorithmiques à votre sujet, cette affaire vous rappelle que vous avez des droits en vertu de la législation sur la vie privée en ce qui concerne la prise de décision automatisée. Dans l'UE, cela inclut le droit de demander une intervention humaine, d'exprimer votre point de vue et de contester une décision prise uniquement par un algorithme.

Même si vous n'êtes ni conducteur ni travailleur de plateforme, cette décision compte parce qu'elle renforce la manière dont les régulateurs prennent au sérieux la protection des données en lien avec les systèmes automatisés en général, et pas seulement les violations ou le piratage. Les entreprises qui s'appuient sur des algorithmes pour gérer des comptes, des adhésions ou des services font désormais face à un risque financier réel si ces systèmes fonctionnent sans transparence adéquate ni supervision humaine.

Pour les utilisateurs ordinaires, c'est aussi un bon moment pour examiner le degré de contrôle que vous avez sur vos propres données et le statut de vos comptes sur les plateformes que vous utilisez régulièrement. Comprendre la procédure d'appel d'une entreprise, et savoir si un humain examine les décisions automatisées, peut vous aider à éviter de vous retrouver pris dans un litige similaire.

Points clés à retenir

L'amende infligée à Uber est un moment marquant pour l'application du RGPD, et elle offre quelques leçons pratiques pour les lecteurs :

  • Connaissez vos droits : en vertu du RGPD, vous pouvez demander un examen humain de toute décision automatisée qui vous affecte de manière significative.
  • Si une plateforme suspend ou restreint votre compte, demandez précisément si la décision a été automatisée et exigez une explication.
  • Conservez des traces de votre activité de compte et de toute communication avec une plateforme au cas où vous devriez contester une décision automatisée.
  • Surveillez les développements à venir, car cette amende pourrait inciter d'autres régulateurs en Europe à examiner des systèmes automatisés similaires utilisés par d'autres entreprises.

Alors que les régulateurs continuent de tester les limites du RGPD face à des systèmes automatisés puissants, des affaires comme celle-ci façonneront probablement la manière dont les plateformes conçoivent leurs algorithmes et le niveau de transparence qu'elles doivent aux personnes affectées par ceux-ci.