Décision automatisée : 825 M€ d'amende à Uber, la leçon

2026-08-28 · 5 min de lecture · Gouvernance IA

L'autorité néerlandaise a sanctionné Uber de 824 990 000 euros pour avoir désactivé des comptes de chauffeurs sans intervention humaine réelle. L'article 12.1 de la Loi 25 impose au Québec des obligations très proches.

Une décision entièrement automatisée est une décision produite par un système informatique sans intervention humaine significative et qui entraîne un effet juridique ou une conséquence importante pour la personne visée. L'autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens, AP) a imposé le 21 août 2026 une amende de 824 990 000 euros à Uber pour avoir désactivé des comptes de chauffeurs de cette façon. C'est la deuxième sanction la plus lourde jamais prononcée sous le RGPD (Règlement général sur la protection des données).

Le dossier part de la plainte d'un ancien chauffeur français désactivé en 2019, qui a réuni les témoignages de 170 collègues avant de saisir le régulateur néerlandais, Uber ayant son siège européen à Amsterdam. Les faits couvrent 2020-2022 : des comptes suspendus ou fermés automatiquement sur soupçon de fraude ou pour évaluations client trop basses, avec perte immédiate de revenu. En 2021, 126 chauffeurs ont été désactivés en Europe pour ce seul motif d'évaluations, selon l'AP. Uber conteste et a annoncé un appel.

Que reproche exactement l'autorité néerlandaise à Uber ?

L'absence d'intervention humaine réelle. L'AP conclut que les fermetures de compte étaient déclenchées et confirmées par le système, sans qu'une personne dotée de l'autorité et de la compétence nécessaires puisse renverser le résultat.
Une information insuffisante. Les chauffeurs n'ont pas été informés de façon claire qu'une décision automatisée était prise à leur sujet, ni de la logique appliquée.
Une conséquence lourde. La perte du compte équivaut à la perte du revenu, ce qui place la décision dans le champ de l'interdiction posée par l'article 22 du RGPD.
Un recours théorique. Contester après coup ne suffit pas si la personne saisie du recours n'a ni les éléments ayant fondé la décision, ni le pouvoir de la modifier.

La Cour de justice de l'Union européenne avait déjà élargi ce périmètre dans son arrêt SCHUFA du 7 décembre 2023 (affaire C-634/21) : un score transmis à un tiers constitue lui-même une décision automatisée dès lors qu'il détermine en pratique l'issue.

Pourquoi l'article 12.1 de la Loi 25 pose une exigence comparable au Québec

L'article 12.1 de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) est en vigueur depuis le 22 septembre 2023. Il vise toute décision fondée exclusivement sur un traitement automatisé de renseignements personnels et impose trois obligations cumulatives.

L'entreprise doit informer la personne concernée au plus tard au moment de la décision ; lui communiquer sur demande les renseignements utilisés et les principaux facteurs ayant mené au résultat, ainsi que son droit de rectification ; et lui permettre de présenter ses observations à un membre du personnel en mesure de réviser la décision.

Le régime de sanctions n'est pas symbolique. Les sanctions administratives pécuniaires imposées par la Commission d'accès à l'information (CAI) atteignent 10 millions de dollars ou 2 % du chiffre d'affaires mondial, le montant le plus élevé s'appliquant. Les sanctions pénales montent à 25 millions de dollars ou 4 %.

Quelles décisions automatisées faut-il inventorier en priorité ?

Beaucoup d'organisations québécoises appliquent déjà des traitements automatisés sans les avoir qualifiés comme tels. Les cas les plus exposés :

Présélection de candidatures par filtrage ou classement algorithmique avant tout regard humain.
Décisions de crédit ou de tarification fondées sur un score calculé par un modèle.
Détection de fraude entraînant le blocage d'un compte client ou d'une transaction.
Résiliation ou suspension de compte sur une plateforme ou un service en ligne.
Évaluation de performance ou attribution de quarts pilotées par un outil de planification.
Refus automatisé de réclamation en assurance ou en gestion de sinistres.

La question n'est pas de savoir s'il y a un humain dans la boucle, mais si cet humain a les informations, le temps et l'autorité pour infirmer le système. Une validation qui approuve 100 % des recommandations est une décision automatisée aux yeux du régulateur. Documenter ces contrôles relève de la même démarche que l'évaluation des facteurs relatifs à la vie privée.

Questions fréquentes

L'article 12.1 s'applique-t-il si un employé valide la décision ?

Il ne s'applique pas si l'intervention humaine est réelle. Le critère retenu par les régulateurs européens et québécois est la capacité effective de modifier le résultat : la personne doit avoir accès aux facteurs déterminants, disposer de l'autorité pour renverser la recommandation et exercer ce pouvoir dans les faits, pas seulement sur papier.

Une entreprise québécoise peut-elle être visée par une décision européenne comme celle d'Uber ?

Oui, si elle offre des biens ou services à des personnes situées dans l'Union européenne ou suit leur comportement. Le RGPD s'applique alors de façon extraterritoriale, indépendamment du lieu du siège social. Une entreprise du Québec sans activité européenne reste soumise à la Loi 25 et aux lois fédérales applicables.

Quelles traces faut-il conserver pour démontrer la conformité ?

Un inventaire des systèmes qui prennent ou préparent des décisions, la description de la logique et des facteurs utilisés, les avis transmis aux personnes concernées, le registre des demandes d'explication et de révision, et la preuve que des révisions ont effectivement mené à un changement de décision.

La CAI a-t-elle déjà sanctionné une décision automatisée ?

Aucune sanction pécuniaire publique portant spécifiquement sur l'article 12.1 n'a été rendue à la fin d'août 2026. La CAI a toutefois annoncé une intensification de ses vérifications, et le montant de l'amende néerlandaise illustre le niveau d'exposition d'une organisation dont les décisions automatisées ne sont ni documentées ni révisables.

Sources

Autoriteit Persoonsgegevens, « Uber fined nearly 825 million euros for automated driver blocking », 21 août 2026 : https://www.autoriteitpersoonsgegevens.nl/en/current/uber-fined-nearly-825-million-euros-for-automated-driver-blocking
TechCrunch, « Uber faces fine of nearly $1B over automated driver suspensions », 23 août 2026 : https://techcrunch.com/2026/08/23/uber-faces-fine-of-nearly-1b-over-automated-driver-suspensions/
LégisQuébec, Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) : https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1
Commission d'accès à l'information du Québec, information aux entreprises privées : https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees
Cour de justice de l'Union européenne, arrêt SCHUFA Holding, affaire C-634/21, 7 décembre 2023 : https://curia.europa.eu/juris/liste.jsf?num=C-634/21
EUR-Lex, Règlement (UE) 2016/679 (RGPD), article 22 : https://eur-lex.europa.eu/eli/reg/2016/679/oj

Voir tous les articles