<p>La CNIL a annoncé le 24 août 2026 une sanction de près de 825 millions d'euros visant Uber, pour des désactivations de comptes décidées sans...
Beaucoup de dirigeants de PME lisent les grandes sanctions RGPD comme des faits divers réservés aux géants du numérique. L'annonce faite par la CNIL le 24 août 2026 mérite une lecture différente, car ce qui est sanctionné n'est pas une technologie exotique: c'est le fait de laisser un logiciel prendre seul une décision qui affecte une personne. Avec l'arrivée de fonctions d'intelligence artificielle dans les outils métier les plus ordinaires, cette situation est devenue banale, y compris dans des structures de dix salariés. Selon l'annonce de la CNIL du 24 août 2026, l'autorité néerlandaise de protection des données a prononcé, en coopération avec la CNIL, une amende de 824 990 000 euros à l'encontre d'UBER B.V. et d'UBER TECHNOLOGIES INC. Le reproche porte sur les désactivations de comptes de chauffeurs: suspensions temporaires en cas de soupçon de fraude, suspensions temporaires ou définitives en cas de notation basse par les clients. L'autorité a analysé ces mesures comme des décisions individuelles automatisées au sens du règlement européen, faute d'intervention humaine véritable dans le processus.
La procédure remonte à une plainte collective déposée en 2020 auprès de la CNIL par La Ligue des droits de l'Homme pour plus de 170 chauffeurs. Toujours d'après la CNIL, deux sanctions avaient déjà été prononcées dans ce dossier: 10 millions d'euros le 11 décembre 2023, puis 290 millions d'euros. Les montants et les dates cités ici proviennent de la communication de l'autorité française; nous n'avons pas eu accès au texte intégral de la décision néerlandaise pendant la rédaction.
Pourquoi cela concerne aussi les petites structures
Le point de droit en jeu est l'article 22 du RGPD, qui encadre les décisions produisant des effets juridiques ou significatifs sur une personne lorsqu'elles reposent sur un traitement entièrement automatisé. Le texte ne fixe aucun seuil de taille d'entreprise ni de volume de données. Il s'intéresse à la nature de la décision et à la réalité du contrôle humain.
Or ce type de décision existe déjà dans beaucoup de PME, souvent sans avoir été identifié comme tel: un logiciel de recrutement qui écarte des candidatures selon un score avant tout regard humain, un outil de gestion commerciale qui refuse un client ou une commande sur la base d'une note de solvabilité, un module antifraude qui bloque un paiement ou un compte utilisateur, un dispositif de notation de fournisseurs qui déclenche une exclusion automatique et une tarification qui varie selon un profil calculé par l'outil.
La difficulté nouvelle vient du fait que ces mécanismes sont désormais intégrés par défaut dans des logiciels du quotidien, sous l'étiquette « assistant » ou « suggestion intelligente ». L'entreprise utilisatrice reste responsable du traitement, même si elle n'a rien développé elle-même. Au-delà de la sanction administrative, trois conséquences pèsent lourd pour une petite structure. D'abord le contentieux individuel: une personne écartée peut demander des explications, un réexamen, et contester. Ensuite la charge de la preuve: il faut être capable de montrer qui a réellement revu le dossier, quand, et avec quelle marge de manœuvre. Enfin la dépendance à l'éditeur: si le fonctionnement de l'algorithme n'est pas documenté dans le contrat, l'entreprise se retrouve à devoir justifier une logique qu'elle ne maîtrise pas.
Un point de vigilance mérite d'être souligné: la validation de façade ne suffit pas. Un salarié qui clique sur « accepter » sur une liste de refus préparée par l'outil, sans temps ni information pour en juger, ne constitue pas une intervention humaine effective au sens du texte.
Que faire, concrètement
Recensez vos automatismes. Faites la liste des traitements qui décident ou pré-décident quelque chose: tri de candidatures, scoring de prospects, détection de fraude, notation de fournisseurs, tarification dynamique. Incluez les fonctions d'IA intégrées à vos logiciels existants. Qualifiez l'effet pour la personne. Pour chaque cas, demandez-vous si la décision produit un effet juridique ou significatif: refus de candidature, résiliation, blocage de compte, refus de paiement.
Installez un vrai réexamen humain. Une personne identifiée, formée, disposant de l'information et du pouvoir de renverser la décision. Écrivez qui, dans quel délai, sur quelle base. Informez les personnes concernées. Existence d'une logique automatisée, droit d'obtenir un réexamen humain, de s'exprimer et de contester la décision.
Mettez à jour votre registre des traitements et évaluez la nécessité d'une analyse d'impact relative à la protection des données. Interrogez vos éditeurs par écrit. Quelles décisions sont automatisées dans leur produit, quels éléments d'explication pouvez-vous obtenir, et sous quelle forme? Faites-le figurer au contrat.
Appuyez-vous sur les ressources officielles. Les fiches de la CNIL sur les décisions automatisées et sur l'intelligence artificielle constituent le point de départ le plus fiable avant tout nouveau déploiement.
Ces éléments sont donnés à titre d'orientation générale. La qualification juridique d'un traitement dépend de son contexte précis: pour un cas concret, faites valider votre analyse par un conseil compétent ou appuyez-vous sur la doctrine publiée par l'autorité de contrôle, qui est susceptible d'évoluer. Le message de cette affaire n'est pas qu'il faut renoncer à l'automatisation. C'est qu'un outil peut préparer une décision, mais qu'une personne doit pouvoir la reprendre. Dans une PME, la mise en conformité passe rarement par un chantier lourd: elle commence par un inventaire honnête des endroits où le logiciel décide déjà tout seul, et par la désignation de quelqu'un qui a le droit de dire non. CNIL, actualité « Décisions automatisées: sanction de près de 825 millions d'euros à l'encontre d'Uber », 24 août 2026. Autoriteit Persoonsgegevens (autorité néerlandaise de protection des données), décision relative à UBER B.V. et UBER TECHNOLOGIES INC., telle que rapportée par la CNIL, août 2026.
Règlement (UE) 2016/679 (RGPD), article 22, texte consolidé disponible sur EUR-Lex.
Synthèse rédactionnelle originale de TICLIC, établie à partir de la veille du 25 août 2026. Les montants, dates et qualifications juridiques sont ceux communiqués par la CNIL le 24 août 2026; le texte intégral de la décision néerlandaise n'a pas pu être consulté directement lors de la rédaction et ces éléments n'ont donc pas fait l'objet d'une vérification indépendante complémentaire. Une décision de sanction peut faire l'objet de recours: reportez-vous aux publications officielles pour son état à jour.