Compte désactivé par un algorithme : les recours ouverts par l’article 22 du RGPD

Perdre l’accès à son outil de travail parce qu’une note a baissé se conteste. Le règlement général sur la protection des données (RGPD) interdit par principe qu’une décision aux conséquences lourdes soit prise par la seule machine. L’autorité néerlandaise de protection des données vient d’en tirer les conséquences contre Uber : 824 990 000 euros d’amende, pour des comptes de chauffeurs coupés sans qu’aucun humain n’ait examiné le dossier.

Cette amende n’ira pas aux chauffeurs. Elle est recouvrée au profit de l’État qui l’a prononcée. Ce que la décision laisse derrière elle compte davantage pour une personne visée par une coupure automatique. L’article 22 du RGPD lui ouvre des garanties qu’elle peut réclamer directement à l’entreprise, dès que la décision repose sur un contrat. Deux voies distinctes servent ensuite à les faire valoir : la réclamation devant une autorité de contrôle, l’action en réparation devant le juge. La seconde se prescrit par cinq ans, et ce délai court pendant que la première suit son cours.

Le point tranché : couper l’accès au travail sans qu’aucun humain n’ait examiné le dossier

L’Autoriteit Persoonsgegevens, l’autorité néerlandaise de protection des données, a infligé une amende de 824 990 000 euros à UBER B.V., établie à Amsterdam, et à UBER TECHNOLOGIES INC., établie à San Francisco. Les reprises néerlandaises situent l’annonce de l’autorité au 21 août 2026. Aucun document primaire accessible ne date la décision elle-même. La Commission nationale de l’informatique et des libertés (CNIL) l’a rendue publique en français le 24 août 2026. C’est la décision néerlandaise qui produit les effets ; sa reprise française n’ouvre aucun droit nouveau.

Deux familles de coupures sont visées. La première est une désactivation temporaire, déclenchée par une suspicion de fraude. La seconde est une désactivation temporaire, puis définitive, déclenchée par une note client jugée trop basse. Dans les deux cas, le compte cesse de fonctionner et le chauffeur ne peut plus travailler.

L’autorité a retenu la qualification de décision individuelle automatisée après avoir constaté une absence totale d’intervention humaine dans le processus. Elle a considéré que ces décisions affectent les chauffeurs de manière significative, puisqu’elles les empêchent de générer des revenus.

C’est ce maillon qui fait basculer une coupure de compte dans le champ de l’article 22 du RGPD. Un système qui calcule un score reste un traitement de données comme un autre. À partir du moment où le résultat du calcul produit un acte — le compte se ferme —, il y a décision. Et cet acte devient significatif quand il prive la personne de sa source de revenus.

La décision n’est pas définitive. Selon les reprises néerlandaises, Uber a annoncé faire appel, juge le montant disproportionné et indique que sa politique actuelle intègre un examen humain ; la décision porte sur des pratiques antérieures à cette refonte. Les éléments publics de l’affaire proviennent des communiqués des deux autorités et de leurs reprises. Le texte intégral de la décision, lui, n’a pas pu être consulté à la date de publication.

Trois éléments à établir : une décision, aucune intervention humaine, un effet significatif

Le paragraphe 1 de l’article 22 du RGPD donne à toute personne un droit précis : celui de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, profilage compris. Encore faut-il que cette décision produise des effets juridiques la concernant, ou l’affecte de manière significative de façon similaire. Trois conditions, qui se vérifient une par une.

Une décision, pas un simple calcul. La Cour de justice de l’Union européenne (CJUE) a précisé ce point le 7 décembre 2023, dans l’affaire C-634/21 dite SCHUFA. L’établissement automatisé d’une valeur de probabilité sur la capacité d’une personne à rembourser un crédit constitue une décision au sens de l’article 22 lorsque le tiers destinataire s’en sert de manière déterminante. Celui qui calcule le score peut donc être regardé comme l’auteur de la décision, même si un tiers la prononce formellement. Le rôle de la Cour de justice dans l’interprétation du RGPD est précisément là : fixer ce que recouvrent des mots que le règlement ne définit pas.

Aucune intervention humaine réelle. « Fondée exclusivement » ne se lit pas comme « sans qu’aucun humain n’ait cliqué ». Ce qui compte est l’existence d’un pouvoir réel de s’écarter du résultat produit par le système. Une validation humaine qui se borne à entériner ce que la machine propose n’est pas une intervention. La décision d’août 2026 ne tranche pas ce cas de figure : elle constate une absence totale d’intervention, ce qui est la situation la plus simple. Un dossier où un salarié valide un écran de contrôle relève d’une appréciation qui reste à faire, au cas par cas.

Un effet juridique ou une conséquence équivalente. Le texte vise les effets juridiques et les effets significatifs de nature similaire. La privation d’une source de revenus entre dans cette seconde catégorie. C’est la lecture retenue par l’autorité néerlandaise pour les chauffeurs désactivés.

Le RGPD n’interdit pas « les algorithmes » et ne parle pas d’intelligence artificielle. Il vise une catégorie étroite : les décisions fondées exclusivement sur un traitement automatisé et produisant un effet lourd sur une personne identifiée. Un traitement automatisé qui ne débouche sur aucun acte affectant la personne reste hors de ce champ.

Contrat, loi ou consentement : l’interdiction cède, les garanties restent dues

L’interdiction du paragraphe 1 a trois portes de sortie, énumérées au paragraphe 2 de l’article 22. La décision automatisée redevient possible dans trois cas. Lorsqu’elle est nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne et le responsable du traitement. Lorsqu’elle est autorisée par le droit de l’Union ou d’un État membre, assorti de garanties appropriées. Lorsqu’elle repose sur le consentement explicite de la personne.

La première porte est celle qu’un exploitant de plateforme invoque en premier. Le compte, la note, la relation commerciale : tout cela relève d’un contrat. Une personne qui oppose « c’est interdit » s’entend donc presque toujours répondre par ce paragraphe 2.

La discussion utile commence après. Deux de ces trois portes rouvrent aussitôt des obligations : dans le cas du contrat et dans celui du consentement explicite, le paragraphe 3 impose au responsable du traitement des mesures garantissant au moins trois choses à la personne concernée.

• Obtenir une intervention humaine de la part du responsable du traitement.
• Exprimer son point de vue sur la décision prise.
• Contester la décision.

Ces trois garanties sont ce qu’une personne visée par une coupure automatique peut réclamer directement, sans attendre l’issue d’une procédure d’autorité. Elles sont dues par l’entreprise elle-même.

À cela s’ajoute un droit à l’information, écrit au point f) du paragraphe 2 de l’article 13 et au point h) du paragraphe 1 de l’article 15. La personne doit être informée de l’existence d’une décision automatisée, et obtenir des informations utiles concernant la logique sous-jacente ainsi que l’importance et les conséquences prévues du traitement pour elle. Ce sont ces mêmes articles qui portent, plus largement, les droits que le RGPD ouvre à la personne concernée.

Reste à savoir ce que recouvre la « logique sous-jacente ». La CJUE l’a précisé le 27 février 2025 dans l’affaire C-203/22, Dun & Bradstreet Austria : le responsable doit exposer de façon compréhensible la procédure suivie et les principes concrètement appliqués. Ni le code source, ni les formules mathématiques. La protection du secret des affaires ne permet pas d’opposer un refus global : elle déplace l’arbitrage, et c’est alors à l’autorité de contrôle ou au juge de trancher ce qui doit être communiqué.

La réclamation se dépose près de chez vous, la décision se prend au pays d’établissement

Une plainte déposée à Paris peut aboutir à une amende prononcée aux Pays-Bas. C’est le trajet suivi par ce dossier, et il déroute souvent.

Le point de départ est français. La Ligue des droits de l’Homme a déposé en 2020 auprès de la CNIL une plainte collective pour plus de 170 chauffeurs, complétée en 2021. L’instruction, elle, revenait à l’autorité néerlandaise : Uber a son établissement principal aux Pays-Bas, ce qui en fait l’autorité chef de file. La CNIL n’a pas pour autant quitté le dossier. Elle a coopéré tout au long de la procédure — lors des contrôles, lors de l’analyse des preuves, lors de l’examen du projet de décision.

Ce mécanisme vaut pour toute personne visée par une décision automatisée d’une entreprise établie ailleurs dans l’Union. L’article 77 du RGPD ouvre la réclamation devant l’autorité de contrôle de l’État membre de résidence habituelle, de celui du lieu de travail, ou de celui du lieu où la violation a été commise. Vous n’avez pas à saisir l’autorité du pays du siège. Cette autorité doit ensuite vous informer de l’état d’avancement et de l’issue de la réclamation.

L’article 80 ajoute une option : mandater un organisme à but non lucratif, actif dans la protection des données et dont les objectifs statutaires sont d’intérêt public, pour introduire la réclamation et exercer les recours en votre nom. C’est ce qui permet à une association de porter un dossier collectif comme celui des chauffeurs.

Outre l’article 22, la décision retient un manquement à l’information des personnes sur le traitement automatisé. La vice-présidente de l’autorité néerlandaise, Monique Verdier, y a résumé la règle appliquée : « Un ordinateur ne devrait pas prendre seul des décisions qui ont des conséquences majeures pour vous. Ces décisions auraient dû être examinées d’abord par un être humain. » Ces propos sont traduits de leur version anglaise, telle que la rapportent les reprises néerlandaises.

L’amende revient à l’État néerlandais, la réparation se demande au juge

824 990 000 euros ne seront versés à aucun chauffeur. Une amende prononcée par une autorité de contrôle est recouvrée au profit de l’État qui l’a infligée. Elle sanctionne un manquement au règlement ; elle ne répare pas un préjudice individuel.

La réparation relève d’un autre texte et d’une autre procédure. L’article 82 du RGPD prévoit que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a droit à réparation. Le responsable du traitement ne s’en libère qu’en prouvant que le fait générateur du dommage ne lui est pas imputable. Cette action-là se porte devant le juge, et il faut la lancer soi-même. Une décision d’autorité y sert d’élément de preuve, jamais de titre exécutoire : elle établit un manquement, pas votre préjudice ni son montant.

Le choix du tribunal appartient à la personne concernée. L’article 79 ouvre deux options : les juridictions de l’État membre où le responsable du traitement dispose d’un établissement, ou celles de votre résidence habituelle. Un chauffeur établi en France n’a donc pas à plaider à Amsterdam pour agir contre une société néerlandaise. C’est l’obstacle que beaucoup imaginent décisif dans un litige transfrontalier, et le règlement l’a levé. La démarche reste celle d’une action civile ordinaire, avec sa charge de preuve : demander réparation devant le juge civil suppose d’établir un dommage et son lien avec le manquement.

Reste à situer le chiffre. Les 824,99 millions d’euros appartiennent au haut du barème du RGPD : la sanction est présentée par les reprises néerlandaises comme la deuxième plus élevée à ce jour, derrière les 1,2 milliard d’euros infligés à Meta en 2023. La CNIL rappelle deux sanctions antérieures contre Uber, sur des manquements sans rapport avec celui-ci. D’abord 10 millions d’euros le 11 décembre 2023, pour l’information des chauffeurs. Puis 290 millions d’euros le 22 juillet 2024, pour des transferts de données hors de l’Union européenne. Trois procédures distinctes, trois objets différents.

Ces trois ordres de grandeur mesurent la gravité d’un manquement au règlement, pas la perte d’une personne. Un chiffre spectaculaire ne dit rien de ce qu’un chauffeur désactivé a subi, ni de ce qu’un juge lui accorderait.

Cinq ans pour agir en réparation, aucun délai pour saisir l’autorité

Les deux voies n’ont pas le même horizon, et c’est la conséquence pratique la plus facile à manquer.

La réclamation de l’article 77 n’est enfermée dans aucun délai de forclusion. Vous pouvez saisir l’autorité de contrôle sans compter les mois, et elle doit vous tenir informé de l’avancement.

L’action en réparation, elle, se prescrit. L’article 2224 du code civil soumet les actions personnelles ou mobilières à une prescription de cinq ans, qui court à compter du jour où le titulaire du droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. Le point de départ n’est donc pas la date de la décision de l’autorité, mais celle où la personne a su ce qui lui était arrivé.

La conséquence est mécanique. Attendre l’issue d’une procédure devant une autorité de contrôle — une instruction, un projet de décision, une coopération entre plusieurs autorités, un appel — peut consommer une part importante des cinq ans déjà entamés. Les deux calendriers courent en parallèle, ils ne s’attendent pas.

Au 2 décembre 2026, la suspension d’un compte devra être décidée par un être humain

La règle applicable à ce type de coupure est en train de changer. La directive (UE) 2024/2831 relative à l’amélioration des conditions de travail dans le cadre du travail via une plateforme consacre son chapitre III à la gestion algorithmique. Son article 10 porte sur le contrôle humain des systèmes automatisés, son article 11 sur le réexamen humain des décisions.

Le déplacement est net. Là où l’article 22 du RGPD laisse l’exception contractuelle ouvrir la voie à une décision automatisée assortie de garanties, la directive réserve à un être humain la décision elle-même. Selon son article 11, toute décision de restreindre, suspendre ou résilier le compte ou la relation contractuelle d’une personne exécutant un travail via une plateforme, ou toute décision causant un préjudice équivalent, doit être prise par une personne physique. La personne concernée a droit sans délai indu à une explication, orale ou écrite, en langage clair, et à un interlocuteur désigné pour en discuter. Pour cette catégorie de décisions, l’exception contractuelle cesse d’être une porte de sortie.

Quatre dates sont à distinguer, et une seule déclenche l’effet. La directive a été adoptée le 23 octobre 2024, puis publiée au Journal officiel de l’Union européenne le 11 novembre 2024. Elle est entrée en vigueur le 1ᵉʳ décembre 2024, ce qui n’a créé aucun droit pour un chauffeur. Les États membres doivent l’avoir transposée au plus tard le 2 décembre 2026 : c’est la loi ou le décret de transposition, une fois publié, qui rendra ces obligations opposables en France. Une directive ne s’applique pas directement, contrairement à un règlement comme le RGPD.

D’ici là, l’article 22 du RGPD reste le fondement disponible. Une décision antérieure à la transposition s’apprécie sous ce régime, avec ses trois conditions et ses garanties minimales.

Trois voies, trois interlocuteurs, trois conditions d’accès

Une personne dont le compte a été désactivé par un traitement automatisé dispose de trois leviers, qui ne s’excluent pas et n’aboutissent pas au même résultat.

Le mandat de l’article 80 se superpose à ces voies : une association remplissant les conditions du règlement peut agir en votre nom. Côté français, la loi n° 2025-391 du 30 avril 2025 a unifié le régime des actions de groupe, jusque-là éclaté en cinq régimes distincts dont celui des données personnelles, pour les actions introduites à compter du 2 mai 2025. Selon l’analyse de cette réforme publiée par le cabinet A&O Shearman, l’action tendant à la seule cessation d’un manquement y est ouverte aux associations qui réunissent trois conditions.

• Être déclarées depuis au moins deux ans.
• Justifier de vingt-quatre mois d’activité effective et publique.
• Avoir un objet statutaire qui couvre les intérêts atteints.

Ces conditions visent la qualité pour agir d’une association. Elles ne restreignent pas les droits que les articles 77, 79 et 82 du RGPD ouvrent à la personne concernée, qui peut agir seule.

Une demande écrite au responsable du traitement ne dépend d’aucune procédure en cours. Elle porte sur deux points : l’existence d’une décision automatisée vous concernant, et les informations utiles sur la logique de ce traitement. La réponse, ou son absence, est la première pièce d’un dossier.

Questions fréquentes

Le RGPD interdit-il de prendre une décision par un algorithme ?

Pas de manière générale. Le paragraphe 1 de l’article 22 du RGPD vise une catégorie précise : les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques ou affectent une personne de manière significative. Le paragraphe 2 lève l’interdiction lorsque la décision est nécessaire à un contrat, autorisée par le droit de l’Union ou d’un État membre, ou fondée sur un consentement explicite.

Que puis-je exiger de l’entreprise qui a désactivé mon compte ?

Trois garanties au minimum, lorsque la décision repose sur un contrat ou sur un consentement explicite. Le paragraphe 3 de l’article 22 impose alors au responsable du traitement de vous laisser obtenir une intervention humaine de sa part, exprimer votre point de vue et contester la décision. Vous pouvez aussi demander des informations utiles sur la logique du traitement, au titre des articles 13 et 15.

Jusqu’où va l’explication à laquelle j’ai droit ?

La Cour de justice de l’Union européenne l’a jugé le 27 février 2025 dans l’affaire C-203/22 : le responsable du traitement doit exposer de façon compréhensible la procédure suivie et les principes concrètement appliqués. Ni le code source ni les formules ne sont dus. Le secret des affaires ne justifie pas un refus global de répondre ; il revient alors à l’autorité de contrôle ou au juge de fixer ce qui doit être communiqué.

L’amende de 824,99 millions d’euros va-t-elle indemniser les chauffeurs ?

Non. Une amende prononcée par une autorité de contrôle est recouvrée au profit de l’État qui l’a infligée, ici les Pays-Bas. L’indemnisation d’une personne relève de l’article 82 du RGPD et suppose une action distincte devant le juge, où la décision de l’autorité sert d’élément de preuve. La sanction, que les reprises néerlandaises datent du 21 août 2026, fait de plus l’objet d’un appel annoncé par Uber.

Où déposer une réclamation si l’entreprise est établie dans un autre pays de l’Union ?

L’article 77 du RGPD permet de saisir l’autorité de contrôle de votre État membre de résidence habituelle, de celui de votre lieu de travail ou de celui du lieu de la violation. En France, c’est la CNIL. Le dossier peut ensuite être instruit par l’autorité du pays où l’entreprise a son établissement principal, les autres autorités concernées coopérant et examinant le projet de décision.