Uber sanctionné pour son algorithme

L’autorité néerlandaise de protection des données inflige à Uber une amende de 825 millions d’euros pour avoir désactivé des comptes de chauffeurs sans information suffisante ni véritable contrôle humain. L’affaire est partie de plaintes de chauffeurs français.

Un chauffeur ouvre l’application Uber un matin et découvre que son compte est bloqué. Le logiciel de la plateforme a détecté quelque chose : un trajet jugé suspect, peut-être interprété comme une tentative de gonfler le prix de la course, ou une série de mauvaises notes de passagers. Pas de courrier préalable, pas d’appel, pas d’interlocuteur ayant examiné son cas. Seulement un écran qui signifie, concrètement, qu’il ne travaillera pas ce jour-là.

C’est ce mécanisme que sanctionne l’Autoriteit Persoonsgegevens, l’autorité néerlandaise de protection des données, dans une décision visant Uber cette semaine. L’amende atteint 825 millions d’euros, soit la deuxième plus lourde jamais prononcée au titre du droit européen de la vie privée, derrière la sanction de 1,2 milliard d’euros infligée à Meta en 2023 (Reuters via Yahoo Finance, DutchNews). Le régulateur estime qu’Uber a utilisé des logiciels pour suspendre, voire exclure définitivement, des chauffeurs en Europe sans leur fournir d’explication suffisante ni leur garantir un véritable réexamen humain (NOS, Euractiv).

La règle européenne qui interdit à une machine de décider seule

Le cœur juridique du dossier tient à l’article 22 du RGPD, le règlement européen sur la protection des données. Ce texte donne à chacun le droit de ne pas faire l’objet d’une décision entièrement automatisée lorsqu’elle produit des effets importants sur sa vie (texte officiel du RGPD). Une recommandation publicitaire personnalisée n’entre pas dans cette catégorie. La perte d’un revenu, si.

La ligne est assez simple. Les plateformes peuvent utiliser des logiciels pour classer des courses, repérer des anomalies ou déclencher des alertes. Mais dès lors qu’une décision menace le revenu d’une personne ou sa situation juridique, le RGPD impose trois garanties : un humain doit réellement examiner le dossier, la personne concernée doit comprendre quelles données et quelle logique ont conduit à la décision, et elle doit disposer d’un moyen concret de la contester (texte officiel du RGPD, lignes directrices approuvées par le CEPD).

Ce point est décisif, car toutes les « revues humaines » ne se valent pas. Le droit européen ne se satisfait pas d’un salarié cliquant sur « confirmer » dans une interface. Les lignes directrices précisent que la personne chargée du contrôle doit comprendre le résultat produit par le logiciel, accéder aux données sous-jacentes et avoir le pouvoir de renverser la décision (lignes directrices approuvées par le CEPD). Monique Verdier, vice-présidente de l’autorité néerlandaise, l’a résumé plus directement : des chauffeurs ont été rendus inactifs sans avertissement, alors qu’un ordinateur ne devrait pas prendre seul des décisions lourdes de conséquences avant qu’un humain les examine (Xinhua).

Des chauffeurs français, une sanction néerlandaise

L’affaire serait née de plaintes déposées par des chauffeurs Uber français, avec 171 plaignants mentionnés, même si le dossier initial n’a pas été rendu public (Boursorama/AFP, Le Figaro/AFP). Le détour par les Pays-Bas s’explique par le fonctionnement du RGPD : dans les dossiers transfrontaliers, l’autorité du pays où l’entreprise a son siège européen pilote généralement la procédure. Uber étant établi à Amsterdam, le régulateur néerlandais a pris la main, transformant des plaintes françaises en décision à portée européenne (NRC).

Selon l’autorité néerlandaise, les systèmes d’Uber signalaient des chauffeurs pour soupçon de fraude ou mauvaises évaluations, puis suspendaient leurs comptes sans explication suffisante ni voie de recours efficace. Uber conteste des éléments centraux du raisonnement : l’entreprise affirme que les désactivations définitives n’étaient pas entièrement automatisées et que seuls 126 chauffeurs européens auraient été désactivés en 2021 pour de mauvaises notes de clients (Reuters via Yahoo Finance, Quartz). Elle juge l’amende « disproportionnée », assure que les pratiques examinées ont cessé depuis plusieurs années et confirme qu’elle fera appel (Bloomberg via Yahoo Finance).

Le montant peut bouger, le principe restera

L’appel rend le montant de 825 millions d’euros provisoire. Les juges pourront confirmer, réduire ou annuler la sanction. La décision complète de l’autorité néerlandaise n’avait pas été publiée au moment des premières révélations, ce qui laisse encore dans l’ombre le détail du calcul (Boursorama/AFP). Une précédente amende néerlandaise de 290 millions d’euros contre Uber, liée au transfert de données de chauffeurs vers les États-Unis, aurait été suspendue pendant l’appel ; celle-ci pourrait l’être aussi (DutchNews).

Le signal dépasse pourtant le seul cas Uber. Des millions de travailleurs de plateforme dépendent désormais de logiciels qui décident, en pratique, s’ils peuvent gagner leur journée. Le RGPD sert déjà à encadrer ce management algorithmique, avant même que d’autres textes européens ne deviennent le terrain principal du conflit : le règlement sur l’intelligence artificielle, qui classe l’IA utilisée au travail parmi les systèmes à haut risque, ou la directive sur le travail de plateforme, qui renforcera les droits des travailleurs face aux décisions automatisées (Deutschlandfunk, règlement IA 2024/1689). Tous poussent dans la même direction : un logiciel peut aider à prendre une décision professionnelle, mais il ne peut pas devenir le seul acteur responsable.

Pour les personnes dont le revenu dépend d’une plateforme, la conséquence pratique est déjà nette. Si un algorithme bloque un compte, elles ont le droit de savoir quelles données ont été utilisées, quelle logique a conduit à la décision, et d’obtenir un réexamen par une personne réelle. Que les tribunaux retiennent finalement 825 millions d’euros ou 82 millions contre Uber, ces droits-là ne disparaîtront pas.