Aux Pays-Bas, avec la coopération de la CNIL, Uber écope de 825 M€ pour avoir laissé un algorithme décider seul de désactiver des chauffeurs — sans le contrôle humain qu'AppH refuse de retirer de ses propres automatisations
Le 21 août 2026, l'Autoriteit Persoonsgegevens (AP), régulateur néerlandais de la protection des données, a infligé à Uber une amende de 824,99 millions d'euros — en coopération avec la CNIL française, saisie en 2020 par 171 chauffeurs. Entre 2018 et 2022, des systèmes automatisés suspendaient ou désactivaient des comptes de chauffeurs, sur simple soupçon de fraude ou notes jugées trop faibles, sans véritable intervention humaine avant que la décision ne prive quelqu'un de ses revenus. C'est exactement le scénario que l'architecture d'AppH exclut par construction : aucune conséquence réelle sans qu'un humain de l'entreprise n'ait cliqué en premier.
Le 21 août 2026, l'AP — l'équivalent néerlandais de la CNIL — a annoncé une sanction de 824,99 millions d'euros contre Uber, la quatrième que le régulateur lui inflige depuis 2018 (600 000 € en 2018, 10 millions € en 2023 pour défaut d'information des chauffeurs, 290 millions € en 2024 pour des transferts de données hors Union européenne, et désormais ce record). Entre 2018 et 2022, Uber utilisait des logiciels pour surveiller le comportement de ses chauffeurs, leurs courses et leurs évaluations : un soupçon de fraude détecté par le système suffisait à bloquer automatiquement un compte, et des notes durablement jugées trop faibles pouvaient entraîner une exclusion permanente de la plateforme — pendant la désactivation, le chauffeur ne pouvait plus accepter de course, donc plus générer aucun revenu. L'AP a jugé qu'Uber aurait dû prévoir une véritable intervention humaine avant que ces décisions ne s'appliquent, en application de l'article 22 du RGPD, qui protège toute personne contre une décision fondée exclusivement sur un traitement automatisé lorsqu'elle produit un effet juridique ou l'affecte de manière significative.
L'affaire trouve son origine en France : en 2020, 171 chauffeurs s'étaient tournés vers la Ligue des droits de l'Homme, qui avait saisi la CNIL en leur nom. Le siège européen d'Uber étant basé aux Pays-Bas, c'est l'AP qui a mené l'enquête au titre du mécanisme de guichet unique du RGPD — mais la CNIL a activement participé aux contrôles, à l'analyse des preuves et à la relecture du projet de décision, et a tenu les plaignants informés tout au long de la procédure. Malgré son ampleur, la sanction reste loin du plafond légal : avec environ 44,5 milliards d'euros de chiffre d'affaires mondial en 2025, Uber aurait pu, pour une infraction de cette gravité, écoper jusqu'à 4 % de ce chiffre d'affaires — soit environ 1,78 milliard d'euros, plus du double du montant retenu. Uber a annoncé faire appel, contestant en particulier avoir automatisé les désactivations permanentes liées aux évaluations, et affirmant que les décisions définitives pour fraude faisaient l'objet d'un examen humain.
Pour AppH
- Le régulateur néerlandais chiffre, en euros et sur un système réel déployé pendant quatre ans, exactement le risque que l'architecture d'AppH exclut par construction : dans le module Flotte comme dans Automatisations, aucune règle ne désactive seule un compte, ne bloque seule un accès ni ne déclenche seule une conséquence sur le revenu de quelqu'un — un humain de l'entreprise doit d'abord cliquer.
- L'article 22 du RGPD, invoqué ici pour la première fois à cette échelle contre une décision purement algorithmique, donne à AppH un argument juridique concret — pas seulement une bonne pratique — à présenter à tout client PME qui envisagerait d'automatiser une décision touchant un employé, un fournisseur ou un client sans validation humaine avant l'exécution.
Contre / la limite honnête
- Le cas Uber concerne une décision automatisée avec effet direct et significatif sur les revenus d'une personne — un enjeu juridique et humain bien plus lourd que la plupart de ce qu'un client PME d'AppH automatise aujourd'hui (rappel de facture, alerte de stock bas). Affirmer que chaque règle d'Automatisations porte la même exposition juridique que l'algorithme de désactivation d'Uber serait exagéré.
- Uber fait appel et conteste une partie des faits retenus — notamment l'automatisation des désactivations permanentes liées aux évaluations, affirmant qu'un examen humain existait déjà pour les décisions définitives de fraude. L'affaire n'est donc pas définitivement tranchée, et les faits sanctionnés pourraient encore évoluer en appel.
Ce qui frappe dans cette décision n'est pas le montant — 825 millions d'euros, c'est beaucoup, mais ça reste loin du plafond que le RGPD aurait permis. Ce qui frappe, c'est qu'Uber, une entreprise de 44,5 milliards d'euros de chiffre d'affaires avec des équipes juridiques et de conformité considérables, se défende en contestant quelles décisions étaient vraiment automatisées et lesquelles avaient déjà un humain derrière — quatre ans après les faits, l'entreprise elle-même semble incapable de tracer précisément la frontière. C'est exactement le problème qu'un audit trail append-only et un statut « brouillon » obligatoire résolvent structurellement : chez AppH, la question « est-ce qu'un humain a validé avant que ça parte » n'est jamais un point de contentieux a posteriori, parce que la réponse est écrite dans le système au moment même de l'action, pas reconstruite quatre ans plus tard face à un régulateur. Accompagner un dirigeant de PME, c'est lui dire clairement : le jour où un régulateur — ou un client, ou un employé — demandera « qui a validé cette décision et quand », il vaut mieux avoir la réponse déjà écrite que devoir la reconstruire sous pression.
Vérifié par un humain d'AppH