Une Nouvelle Sanction De La Société UBER Fondée Sur La Prise De Décisions Automatisées

En 2020, la Ligue des droits de l’Homme avait porté une plainte collective devant la CNIL, représentant ainsi 170 chauffeurs UBER. La société regroupe UBER B.V, ayant son siège social à Amsterdam, et UBER TECHNOLOGIES INC, étant basée à San Franscisco aux Etats Unis, dans le cadre du guichet unique, c’est donc l’Autorité de protection néerlandaise (AP) qui a traité la plainte, en étroite coopération avec la CNIL.

Dans le cadre de cette procédure, deux sanctions ont déjà été prononcées à l’encontre de la société UBER par l’AP :

• La première était une amende de 10 millions d’euros pour manquement à l’information des chauffeurs et à l’exercice de leurs droits, prononcée le 11 décembre 2023¹;
• La seconde, en date du 22 juillet 2024, est une amende de 290 millions d’euros pour transfert de données personnelles en dehors de l’Union européenne, en l’occurrence vers des serveurs américains, sans garanties suffisantes de protection des données².

Il s’agit donc de la troisième sanction prononcée à l’encontre de UBER. C’est l’amende la plus lourde puisqu’elle s’élève à 824,99 millions d’euros et dénonce un manquement à l’article 22 du RGPD en raison de la prise de décisions automatisées à l’encontre des chauffeurs, sans intervention humaine. En effet, l’article 22 énonce que « La personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire ».

L’AP condamne les désactivations temporaires des comptes des chauffeurs Uber en cas de suspicion de fraude mais également les désactivations définitives à la suite de mauvaises notations des clients. En effet, ces décisions sont automatisées et ne reposent que sur les notations et commentaires des clients. Elles ne font donc appel à aucun contrôle humain de la part de la société. L’AP reproche également à la société de ne pas informer suffisamment les chauffeurs des décisions automatiques prises à leur encontre. L’Autorité de protection précise que, bien qu’il soit possible pour UBER d’effectuer un contrôle humain sur ces décisions, il faut que l’intervention soit effective et puisse modifier l’issue de la décision, ce qui n’était pas le cas en l’espèce.

Cette analyse s’appuie sur le raisonnement de la CJUE, dans son arrêt SCHUFA C-634/21 de 2023³, qui complète la définition des décisions automatisées en s’appuyant sur l’article 22 du RGPD. La CJUE explique qu’il ne suffit pas de qualifier le système d’assistance à la décision humaine. Il faut vérifier la possibilité pour la personne concernée de recourir réellement à l’intervention d’une personne humaine lors de prise de décisions la concernant, notamment d’exercer son droit d’opposition.

La société UBER a fait appel de la décision jugée trop sévère car fondée sur des pratiques qui auraient été modifiées au moment de la condamnation. L’affaire n’est donc pas encore définitive.

Footnotes

^{1. https://www.autoriteitpersoonsgegevens.nl/uploads/2024-01/Boetebesluit%20Uber%20.pdf}

^{2. https://www.autoriteitpersoonsgegevens.nl/system/files?file=2024-08%2FBesluit+boete+Uber+doorgifte+naar+VS.pdf}

^{3. https://infocuria.curia.europa.eu/tabs/document?source=document&text=&docid=280426&pageIndex=0&docla=}

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.