L'autorité néerlandaise, en coopération avec la Commission Nationale de l'Informatique et des Libertés (CNIL), sanctionne Uber pour avoir mis en œuvre un système de désactivation de comptes de chauffeurs reposant sur une prise de décision entièrement automatisée, en violation du RGPD, et pour un défaut d'information à ce sujet.

Faits et contexte

L'autorité néerlandaise de protection des données (AP) a aujourd'hui publié une décision de sanction à l'encontre d'Uber, comprenant le prononcé d'une amende de 824 990 000 €, pour des manquements en lien avec la prise de décision entièrement automatisée entraînant la désactivation des comptes de ses chauffeurs.

L'affaire trouve son origine dans une plainte déposée par la Ligue des droits de l’Homme (LDH) au nom de 171 chauffeurs français auprès de l'autorité de contrôle française, conduisant à une enquête de l'autorité néerlandaise en sa qualité d'autorité chef de file, l'établissement principal européen d'Uber étant situé aux Pays-Bas.

Motifs de la décision

L'autorité a retenu deux manquements principaux à l'encontre de la société :

• Obligation de garantir une intervention humaine dans la prise de décision automatisée (article 22 du RGPD) : L'autorité a constaté qu'entre 2018 et 2022, Uber a utilisé un système logiciel pour désactiver automatiquement les comptes de chauffeurs en cas de suspicion de fraude ou de notations de clients jugées insuffisantes. L'autorité a estimé que cette pratique constituait une décision entièrement automatisée produisant des effets juridiques ou affectant de manière significative les personnes concernées, en l'occurrence la suspension de leur source de revenus. L'absence totale d'intervention humaine dans ce processus a été jugée comme une violation directe de l'interdiction de principe posée par le RGPD.
  
  L'autorité a également relevé qu'Uber n'avait pas fourni aux chauffeurs une information suffisante et claire concernant l'existence de ce processus décisionnel automatisé, qui a empêché les chauffeurs de comprendre la logique sous-jacente, l'importance et les conséquences prévues de ce traitement, en violation des principes de transparence.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 824 990 000 € à Uber.

Enseignements

Cette décision rappelle que :

• Une décision produisant des effets juridiques ou affectant de manière significative une personne, telle que la suspension d'un compte professionnel entraînant une perte de revenus, ne peut reposer sur un traitement exclusivement automatisé.
• L'intervention humaine requise pour valider une décision automatisée à fort impact doit être effective et significative, et ne peut se limiter à une simple validation formelle du résultat de l'algorithme.
• L'information fournie aux personnes concernées sur l'existence d'une prise de décision automatisée doit être claire, complète et inclure des explications sur la logique sous-jacente et les conséquences envisagées.
• Le recours à des algorithmes pour la détection de la fraude, bien que potentiellement légitime, ne déroge pas à l'interdiction de la prise de décision entièrement automatisée si celle-ci entraîne des conséquences négatives importantes pour l'individu.
• Dans le cadre du mécanisme de guichet unique, une plainte déposée auprès d'une autorité de contrôle locale peut déclencher une enquête et une sanction de l'autorité chef de file du pays où se situe l'établissement principal du responsable du traitement.