Bans automatisés et RGPD Art. 22 : Le cas Uber à 825M€

En vertu de l'article 22 du RGPD, les décisions entièrement automatisées produisant des effets juridiques ou similaires significatifs — telles que la suspension de compte ou le blocage anti-fraude — sont interdites sans consentement explicite ou nécessité contractuelle. L'amende record de 825 millions d'euros infligée à Uber confirme qu'une simple validation de façade ne suffit pas : une intervention humaine réelle et préalable est obligatoire.

La modération automatisée séduit par sa rapidité. Un script détecte un écart, analyse un profil d'activité et verrouille un compte en quelques millisecondes. Cependant, selon le droit européen, suspendre un utilisateur ou couper sa source de revenus sans intervention humaine substantielle viole frontalement l'article 22, paragraphe 1, du RGPD.

Le 21 août 2026, l'Autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens – AP) a prononcé une amende de 824 990 000 euros contre Uber. L'enquête faisait suite aux plaintes de 171 chauffeurs portées par la Ligue des droits de l'Homme (LDH) et transmises par la CNIL dans le cadre du guichet unique européen. La conclusion de l'autorité est sans équivoque : Uber a désactivé des comptes sur la base de scores de fraude et d'évaluations automatisés, sans contrôle humain préalable.

Pour les éditeurs de SaaS, les plateformes et les fintechs en Europe, cette décision sonne le glas de l'arbitraire algorithmique.

Qui entre réellement dans le champ de l'article 22 du RGPD ?

L'article 22, paragraphe 1, s'applique à tout responsable de traitement qui fonde une décision produisant des effets juridiques ou affectant de manière significative une personne sur un traitement automatisé.

Trois conditions cumulatives déclenchent l'interdiction de principe :

1. Décision exclusivement automatisée : Aucun être humain n'évalue le dossier avant l'application de la sanction.
2. Évaluation individuelle basée sur le profilage : La décision découle de métriques comportementales, de taux d'annulation ou d'alertes de fraude.
3. Effets juridiques ou significatifs : La mesure prive l'utilisateur de ses revenus, résilie son abonnement ou bloque l'accès à son compte.

Si votre application suspend automatiquement des comptes clients sur détection de fraude sans validation humaine, vous appliquez l'article 22.

L'article 22, paragraphe 2, autorise ces décisions dans trois hypothèses restreintes :

• Nécessité pour la conclusion ou l'exécution d'un contrat ;
• Autorisation expresse par le droit de l'Union ou d'un État membre ; ou
• Consentement explicite de la personne concernée au titre de l'article 9, paragraphe 2, point a.

Même en présence d'une exception, l'article 22, paragraphe 3, impose des garanties strictes : le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision.

Qu'implique une "intervention humaine réelle" ?

De nombreuses équipes produit estiment qu'un simple bouton de réclamation post-suspension suffit. L'autorité néerlandaise a formellement réfuté cet argument.

Un ticket de support après coup ne régularise pas une décision automatisée illicite. Pour écarter la qualification de décision exclusivement automatisée, le contrôle humain doit satisfaire trois exigences :

• Antériorité du contrôle : L'opérateur humain doit analyser le dossier avant que la suspension ne prenne effet.
• Compétence décisionnelle réelle : L'examinateur doit avoir accès aux données brutes et détenir l'autorité effective d'infirmer la recommandation de l'algorithme.
• Absence de validation mécanique : Si vos agents valident des dizaines de blocages par heure sans examen de fond, les régulateurs requalifient l'opération en décision exclusivement automatisée.

Les contrôles de pure forme ne protègent pas des sanctions. Si votre entreprise ne peut pas prouver comment ses équipes analysent chaque dossier, les autorités considéreront le système comme automatisé.

Quelles sont les obligations de transparence relatives au profilage ?

En cas d'utilisation de scoring algorithmique, les articles 13(2)(f) et 14(2)(g) du RGPD imposent une information préalable détaillée dans la politique de confidentialité.

Vos mentions doivent préciser :

• L'existence d'une prise de décision automatisée : Indiquez clairement que des profils font l'objet d'évaluations algorithmiques.
• Des informations utiles concernant la logique sous-jacente : Exposez les paramètres, pondérations et seuils déclencheurs en langage clair. Les formules vagues sont rejetées par les autorités.
• La portée et les conséquences prévues : Expliquez comment les scores affectent le compte, les tarifs ou l'accès au service.

Ces traitements doivent figurer dans votre Registre des activités de traitement (RAT) en vertu de l'article 30 du RGPD et faire l'objet d'une Analyse d'impact relative à la protection des données (AIPD) préalable selon l'article 35.

Quelle est l'articulation avec le Règlement européen sur l'IA ?

Le dossier Uber conforte les règles prévues par le Règlement (UE) 2024/1689. Selon notre Guide du Règlement européen sur l'IA, les systèmes d'IA utilisés pour la gestion des travailleurs, le recrutement ou l'accès aux services essentiels relèvent de la catégorie des systèmes d'IA à haut risque listés à l'annexe III.

L'article 14 du Règlement sur l'IA impose des mesures de contrôle humain :

• Les systèmes doivent permettre aux surveillants humains de comprendre les sorties du modèle, de déceler les biais d'automatisation et d'interrompre l'exécution.
• Les déployeurs ne peuvent pas déléguer l'affectation de tâches ou des sanctions sans conserver des journaux d'audit prouvant la supervision humaine.
• Les manquements entraînent des sanctions cumulatives : jusqu'à 20 000 000 d'euros ou 4 % du chiffre d'affaires mondial au titre de l'article 83 du RGPD, et jusqu'à 35 000 000 d'euros ou 7 % du chiffre d'affaires selon l'article 99 du Règlement sur l'IA.

Évaluez vos systèmes à l'aide de notre Classificateur de risque IA.

Quelles actions prioritaires pour les équipes SaaS en Europe ?

Les fondateurs et directeurs techniques doivent auditer sans délai leurs pipelines d'automatisation :

1. Cartographier les flux automatisés : Recensez chaque algorithme ou script capable de suspendre, restreindre ou pénaliser un utilisateur.
2. Insérer un contrôle humain préalable : Lorsqu'une décision entraîne des conséquences économiques lourdes, soumettez-la à un examen humain avant exécution.
3. Clarifier la logique des modèles : Mettez à jour vos mentions d'information avec des explications concrètes sur vos scores de risque et anti-fraude.
4. Archiver les journaux de supervision : Conservez la trace horodatée des interventions humaines confirmant ou annulant les alertes algorithmiques.
5. Réaliser une AIPD : Menez une analyse d'impact selon l'article 35 du RGPD pour chaque système de profilage à impact significatif.

L'automatisation accélère la croissance. Supprimer le jugement humain sur les décisions critiques expose votre entreprise à des sanctions majeures.

Avertissement : EuroComply fournit des outils de préparation à la conformité et des projets de documentation probante. Ce guide est publié à des fins purement informatives et ne constitue pas un conseil juridique, réglementaire ou de conformité. Les documentations techniques et évaluations doivent être validées par des conseils juridiques qualifiés.