Uber: 825 millions d'euros de pénalité pour décision hâtive

L'autorité néerlandaise de protection des données a infligé une amende record de 824.990.000 € à la société de transport Uber pour avoir violé les dispositions clés du Règlement général sur la protection des données (RGPD). Cette pénalité marque la deuxième plus grande amende individuelle infligée en vertu du RGPD depuis sa mise en œuvre il y a huit ans. La décision a été prise par l'Autorité néerlandaise des données personnelles (Autoriteit Persoonsgegevens, AP), qui supervise le respect des lois sur la protection des données aux Pays-Bas et traite les cas impliquant le siège européen d'Uber. Selon l'AP, Uber a violé l'article 22 du RGPD entre 2018 et 2022 en permettant des décisions entièrement automatisées sans surveillance humaine.

Le règlement interdit de telles décisions automatisées, en particulier celles qui ont des conséquences importantes pour les individus, car elles peuvent conduire à des résultats injustes. Dans ce cas, le système d'Uber a automatiquement désactivé les conducteurs en fonction d'une analyse de leur comportement de conduite, des évaluations des clients et d'autres données collectées auprès des conducteurs et des utilisateurs. Ces actions ont été effectuées sans autre examen, laissant les conducteurs sans revenu du jour au lendemain. Monique Verdier, chef adjointe de l'AP, a souligné que de telles décisions auraient dû être examinées par une personne avant d'être mises en œuvre.

Une organisation française de défense des droits de l'homme a initialement porté l'affaire après que 170 chauffeurs Uber aient signalé des préoccupations. La plainte a été transmise à l'autorité française de protection des données, la CNIL, qui a déterminé que la question relevait de la compétence des Pays-Bas en raison du siège européen d'Uber. L'affaire a finalement atteint les autorités néerlandaises, qui ont trouvé des motifs suffisants pour agir. Ce n'est pas la première fois qu'Uber fait face à des sanctions de la part de l'AP.

Auparavant, l'agence avait infligé à l'entreprise une amende de 600 000 € en 2018 pour ne pas avoir fourni aux conducteurs l'accès à leurs données personnelles, et de 10 millions € en 2023 pour avoir transféré de manière inappropriée les données des conducteurs aux États-Unis sans fondement juridique approprié. Uber a contesté ces amendes antérieures par des moyens juridiques, et les décisions du tribunal sont toujours en instance. De même, l'entreprise a déjà déposé un recours contre la dernière amende record.

L'AP a confirmé que l'amende actuelle concerne spécifiquement les droits des conducteurs d'Uber et n'implique pas l'utilisation abusive des données des utilisateurs, ce qui était l'objet d'enquêtes antérieures. L'AP a déclaré qu'Uber a modifié ses pratiques dans l'UE à la suite de la décision, bien que la nature exacte de ces changements reste inconnue. L'affaire met en évidence le contrôle croissant des entreprises technologiques opérant au sein de l'Union européenne, en particulier en ce qui concerne la façon dont elles traitent les données sensibles et prennent des décisions affectant les individus.