Ce qu'Uber a fait de mal selon le RGPD

L'Autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) a infligé à Uber une amende de 825 millions d'euros, soit environ 966 millions de dollars, ce qui en fait l'une des sanctions les plus lourdes jamais prononcées au titre du Règlement général sur la protection des données. L'amende porte sur l'utilisation par Uber de systèmes automatisés pour suspendre ou désactiver les comptes des conducteurs. En vertu du RGPD, les individus ont le droit de comprendre comment sont prises les décisions automatisées qui les concernent et de contester ces décisions auprès d'un examinateur humain. Les autorités de régulation ont constaté que le processus d'Uber pour couper l'accès des conducteurs, parfois avec des conséquences financières significatives, n'offrait pas aux conducteurs concernés une transparence suffisante ni un moyen réel de contester le résultat.

Ce n'est pas la première fois qu'Uber a affaire aux régulateurs néerlandais. En 2024, la même autorité a infligé à Uber une amende de 290 millions d'euros pour avoir transféré les données personnelles des conducteurs basés dans l'UE vers des serveurs aux États-Unis sans garanties appropriées. Cette affaire concernait les clauses contractuelles types, le mécanisme juridique que les entreprises utilisent pour justifier le transfert de données européennes à l'étranger. Uber aurait cessé d'utiliser ces clauses après août 2021, laissant les données des conducteurs insuffisamment protégées lors des transferts internationaux. Ensemble, ces deux sanctions brossent le portrait d'une entreprise qui a eu du mal à aligner à plusieurs reprises ses pratiques internes en matière de données avec les exigences fondamentales du RGPD concernant la transparence, le consentement et les transferts transfrontaliers.

Comment fonctionne réellement l'application du RGPD

Le RGPD est appliqué par les autorités nationales de protection des données de chaque État membre de l'UE, et non par un régulateur européen centralisé unique. Étant donné que les opérations européennes d'Uber ont leur siège aux Pays-Bas, l'autorité néerlandaise a pris la tête de cette affaire, tout comme la Commission irlandaise de protection des données a traité une amende distincte de 1,2 milliard d'euros infligée à Meta en 2023 pour des violations de la vie privée liées aux transferts de données, une sanction que Meta a contestée.

Cette structure signifie que l'autorité qui supervise une entreprise dépend de l'endroit où se trouve l'établissement principal de cette entreprise dans l'UE, et que les actions de mise en application peuvent prendre des années avant d'aboutir. Les régulateurs enquêtent sur les plaintes, demandent des documents et imposent des amendes que les entreprises contestent fréquemment, ce qui prolonge encore le processus. Pour les lecteurs qui cherchent à comprendre comment ces enquêtes se déroulent et quels pouvoirs les régulateurs détiennent réellement, l'explication de la CNIL offre un aperçu utile du fonctionnement de l'une des autorités de protection des données les plus actives d'Europe, puisque les mêmes principes fondamentaux d'application s'appliquent dans tous les États membres de l'UE, y compris aux Pays-Bas.

Ce que cela signifie pour vos données personnelles

L'ampleur de l'amende infligée à Uber, qui totalise désormais plus de 1,1 milliard d'euros à travers deux actions de mise en application, montre à quel point les régulateurs européens prennent au sérieux les violations liées à la prise de décision automatisée et aux transferts de données. Mais le montant d'une amende ne répare pas l'impact sur les personnes dont les données ont été mal traitées en premier lieu. Les conducteurs dont les comptes ont été suspendus automatiquement sans explication claire ni recours ont subi un préjudice financier réel, et aucune pénalité versée à un régulateur ne les indemnise directement pour cela.

Cette affaire rappelle que le RGPD existe parce que les entreprises, même les plus grandes et les mieux dotées en ressources, ne gèrent pas toujours correctement les données par elles-mêmes. Les systèmes automatisés peuvent prendre des décisions importantes concernant les moyens de subsistance des personnes avec peu de transparence, à moins que les régulateurs n'interviennent. Si une entreprise aussi importante qu'Uber peut accumuler des centaines de millions de pénalités pour ces pratiques, c'est le signe que les utilisateurs ne doivent pas supposer qu'une plateforme respecte automatiquement leurs droits en matière de données simplement parce qu'elle opère dans l'UE.

Mesures que les utilisateurs peuvent prendre pour limiter leur exposition

Bien que les régulateurs s'occupent de l'application des règles, les individus disposent encore de mesures pratiques qu'ils peuvent prendre. Examinez les paramètres de confidentialité et les autorisations de données des applications que vous utilisez régulièrement, y compris les plateformes de covoiturage et de travail à la demande, et limitez les données que vous partagez lorsque c'est possible. Si vous pensez qu'une décision automatisée vous a affecté injustement, le RGPD vous donne le droit de demander un examen humain et de demander à une entreprise d'expliquer la logique derrière cette décision. Vous pouvez également déposer une plainte directement auprès de votre autorité nationale de protection des données si une entreprise ne répond pas.

Limiter au minimum vos données personnelles autant que possible, utiliser une sécurité de compte robuste et rester informé sur la façon dont les plateformes gèrent les transferts de données transfrontaliers réduisent tous votre exposition au type de problèmes qui ont conduit aux amendes d'Uber.

La vue d'ensemble

L'amende de 825 millions d'euros infligée à Uber concernant les données des conducteurs souligne une vérité plus large sur l'application du RGPD : les protections de la vie privée ne fonctionnent que lorsque les régulateurs tiennent activement les entreprises responsables, et les utilisateurs gagnent à comprendre ces protections eux-mêmes plutôt que de supposer que la bonne volonté des entreprises comblera le fossé. À mesure que de plus en plus de systèmes automatisés façonnent les décisions quotidiennes, des suspensions de comptes à l'éligibilité aux services, rester informé de vos droits en vertu du RGPD est l'un des outils les plus efficaces dont vous disposez. Prenez le temps d'examiner comment les plateformes sur lesquelles vous comptez gèrent vos données, et n'hésitez pas à exercer votre droit de contester les décisions automatisées qui vous affectent directement.