L'amende de 825 millions d'euros infligée à Uber met en lumière les risques liés aux décisions automatisées au titre du RGPD

Uber fait face à une amende de 825 millions d'euros au titre du RGPD, liée à une pratique qui semble familière à quiconque s'est déjà retrouvé verrouillé hors de son compte sans explication : la suspension automatique des conducteurs basée sur des décisions algorithmiques, sans qu'un humain n'ait jamais examiné le dossier. Cette sanction est l'une des plus lourdes amendes pour violation de la vie privée de mémoire récente, et elle met en lumière un droit que la plupart des internautes ne savent pas qu'ils possèdent : le droit de ne pas être soumis à des décisions purement automatisées ayant des conséquences réelles.

Ce qu'Uber a fait : des suspensions algorithmiques sans examen humain

Au cœur de cette affaire se trouve le système d'Uber pour désactiver les conducteurs. Selon les régulateurs, les conducteurs pouvaient être suspendus, et de fait perdre leurs revenus, uniquement sur la base d'évaluations automatisées de leur activité, de signaux de fraude, de leurs notes ou d'autres données, sans qu'une personne n'intervienne jamais pour confirmer que la décision était juste ou même exacte. Pour un travailleur de plateforme, une suspension n'est pas un simple désagrément mineur. Cela peut signifier une perte immédiate de revenus, souvent sans grande clarté sur les raisons de cette décision ou sur la manière de faire appel.

Ce n'est pas l'histoire d'un algorithme isolé qui commet une erreur. Il s'agit d'un choix structurel : construire un système où les machines prennent des décisions importantes et où les humains sont facultatifs. Cette distinction compte énormément au regard du droit européen de la protection des données, et c'est pourquoi l'amende a atteint des centaines de millions d'euros plutôt qu'une simple lettre d'avertissement. Les lecteurs qui souhaitent connaître tous les détails réglementaires, y compris comment la sanction a été calculée et ce que l'autorité néerlandaise a constaté, peuvent consulter l'amende RGPD originale infligée à Uber par le régulateur néerlandais pour plus de détails sur l'affaire.

Comment l'article 22 du RGPD protège contre les décisions automatisées

Le fondement juridique de cette amende repose sur l'article 22 du RGPD, une disposition qui donne aux individus le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé lorsque cette décision produit des effets juridiques ou les affecte de manière tout aussi significative. Perdre l'accès à sa principale source de revenus entre clairement dans cette catégorie.

Cette règle n'interdit pas totalement l'automatisation. Les entreprises peuvent utiliser des algorithmes pour signaler des problèmes, évaluer les risques ou trier les dossiers. Ce que le RGPD exige, c'est que lorsqu'une décision a des conséquences graves, un humain doit être véritablement impliqué, une personne ayant l'autorité et les informations nécessaires pour réellement remplacer la machine, et non pas simplement approuver automatiquement son résultat. Les régulateurs considèrent de plus en plus qu'« une personne a cliqué sur approuver » est insuffisant si cette personne n'a jamais eu la moindre chance réelle d'enquêter ou d'annuler le résultat. L'affaire Uber suggère que cet écart, entre avoir un humain dans la boucle sur le papier et en avoir un en pratique, est précisément là où les entreprises s'attirent des ennuis.

Au-delà du travail de plateforme : shadowbanning, bannissements de comptes et demandes de suppression de données

Bien que cette amende concerne une entreprise de covoiturage, le problème sous-jacent dépasse largement le travail de plateforme. Les plateformes de médias sociaux utilisent des systèmes automatisés pour shadowbanner des comptes ou supprimer du contenu. Les banques et les processeurs de paiement utilisent des algorithmes pour geler des comptes en cas de suspicion de fraude. Les services de streaming et les places de marché bannissent automatiquement les utilisateurs pour des comportements signalés. Même les demandes de suppression de données et d'accès, des droits fondamentaux du RGPD, sont souvent traitées par des systèmes automatisés qui peuvent rejeter silencieusement une demande légitime sans aucun examen humain.

Dans chacun de ces scénarios, la même tension s'applique : commodité et échelle pour l'entreprise, contre procédure équitable et transparence pour l'individu. La plupart des utilisateurs ne pensent jamais à demander si un humain a examiné la décision qui les a affectés, principalement parce que les plateformes ne le divulguent que rarement. L'amende d'Uber signale que les régulateurs commencent à traiter cette opacité comme un risque de conformité, et non pas simplement comme une gêne pour le service client.

Ce que cela signifie pour vous

Si vous avez déjà été suspendu, banni ou si une demande vous a été refusée par une application ou une plateforme sans explication claire, il y a de fortes chances qu'un algorithme ait pris cette décision avec un contrôle humain minimal, voire inexistant. En vertu du RGPD, si vous êtes dans l'UE ou si vos données sont traitées par une entreprise y opérant, vous avez généralement le droit de demander une explication des décisions automatisées qui vous affectent de manière significative, de contester la décision et de demander un examen humain réel. Les entreprises opérant dans ce domaine sont légalement tenues d'intégrer cette soupape de sécurité, même si elle n'est pas ouvertement annoncée.

Cette affaire soulève également la valeur pratique d'être prudent quant au degré de contrôle que vous confiez à des plateformes qui s'appuient fortement sur l'application automatisée des règles. Comprendre vos droits en matière de prise de décision automatisée au titre du RGPD n'est pas seulement un concept juridique abstrait, c'est un outil que vous pouvez réellement invoquer lorsqu'une application vous verrouille hors de votre compte ou qu'un algorithme signale le vôtre.

Points clés à retenir

Si vous vous retrouvez du côté des personnes subissant une suspension, un bannissement ou un rejet automatisé, il vaut la peine d'agir plutôt que de supposer que la décision est définitive. Demandez une explication écrite de la manière dont la décision a été prise et si un humain l'a examinée. Citez explicitement vos droits au titre du RGPD si l'entreprise est soumise au droit européen, et déposez une plainte auprès de l'autorité de protection des données compétente si vous n'obtenez pas de réponse satisfaisante. Conservez des traces de vos communications avec la plateforme, car un schéma documenté de décisions automatisées non examinées est exactement le type de preuve qui a conduit à l'amende de 825 millions d'euros infligée à Uber. À mesure qu'une part croissante de la vie quotidienne est filtrée par des algorithmes, connaître ces droits et les utiliser est l'un des moyens les plus clairs de riposter lorsque la machine se trompe.