Uber et RGPD : l’Union européenne rappelle que l’algorithme ne peut pas tout décider

Cette décision marque une nouvelle étape dans l’application du Règlement général sur la protection des données (UE) 2016/679 (RGPD). Au-delà du montant exceptionnel de la sanction, elle illustre une préoccupation croissante des autorités européennes : encadrer l’utilisation des algorithmes lorsque ceux-ci influencent directement l’activité professionnelle et les revenus des individus.

Que reprochent les autorités à Uber ?

L’affaire trouve son origine dans une plainte collective déposée en France par l’association Ligue des droits de l’Homme pour le compte de plus de 170 chauffeurs Uber. La procédure concernait notamment les mécanismes de désactivation des comptes mis en œuvre par la plateforme.

Selon les autorités de contrôle, Uber utilisait des systèmes automatisés afin de détecter certains comportements considérés comme suspects ou d’évaluer les performances des chauffeurs sur la base des notes attribuées par les utilisateurs. Lorsque certains seuils étaient atteints, l’algorithme pouvait déclencher automatiquement la suspension temporaire d’un compte, voire sa désactivation définitive.

Or, dans de nombreux cas, ces décisions étaient prises sans véritable intervention humaine préalable. Les autorités ont considéré que ces mécanismes constituaient des décisions individuelles automatisées produisant des effets significatifs sur les personnes concernées. En effet, lorsqu’un chauffeur ne peut plus accéder à son compte, il est empêché d’effectuer des courses et perd immédiatement une source essentielle de revenus.

L’autorité néerlandaise a également retenu des manquements relatifs à l’information fournie aux chauffeurs concernant ces traitements automatisés.

Pourquoi les décisions entièrement automatisées posent-elles problème ?

Le RGPD ne s’oppose pas à l’utilisation des technologies d’intelligence artificielle ou des algorithmes de prise de décision. En revanche, il fixe certaines limites lorsque ces outils sont utilisés pour prendre des décisions susceptibles d’avoir un impact important sur les droits ou la situation d’une personne.

L’article 22 du RGPD prévoit ainsi qu’une personne ne peut, en principe, faire l’objet d’une décision fondée exclusivement sur un traitement automatisé lorsque cette décision produit des effets juridiques la concernant ou l’affecte de manière significative.

L’objectif poursuivi par le législateur européen est d’éviter qu’une décision importante soit prise sur la seule base d’un traitement automatisé, sans possibilité de prise en compte des circonstances particulières propres à chaque situation.

Dans le cas d’Uber, les autorités ont estimé que le processus de désactivation des comptes reposait excessivement sur des mécanismes automatisés. Selon elles, les garanties applicables à ces décisions n’étaient pas suffisantes au regard de leurs conséquences potentielles pour les chauffeurs concernés.

Le débat ne porte donc pas sur la technologie elle-même. Les autorités européennes ne remettent pas en cause le recours aux algorithmes pour détecter des fraudes, repérer des comportements atypiques ou faciliter certaines prises de décision. Elles rappellent en revanche que, lorsqu’une décision est susceptible d’affecter de manière significative une personne, celle-ci ne peut résulter d’un processus entièrement automatisé.

Au-delà du cas Uber, un enjeu croissant pour l’économie numérique

L’intérêt de cette affaire réside dans sa portée générale.

Si les plateformes numériques constituent l’exemple le plus visible de la gestion algorithmique des activités professionnelles, le recours à des systèmes automatisés s’étend aujourd’hui à de nombreux secteurs d’activité.

Les plateformes s’appuient sur des algorithmes pour attribuer des missions, calculer des rémunérations, détecter des comportements considérés comme anormaux ou évaluer la qualité des prestations réalisées.

Mais ces outils sont également utilisés dans le recrutement, l’évaluation de certaines performances, la détection de fraudes ou encore l’analyse de situations présentant un risque particulier pour l’entreprise.

L’affaire Uber s’inscrit ainsi dans un mouvement plus large de réflexion sur la place accordée aux systèmes automatisés dans les processus décisionnels. À mesure que ces technologies gagnent en importance, la question n’est plus seulement celle de leur efficacité, mais également celle des garanties mises en place pour les personnes concernées.

Cette décision s’inscrit également dans une tendance plus générale observée au niveau européen. Au cours des dernières années, les institutions européennes ont progressivement renforcé leurs exigences à l’égard des acteurs numériques.

Le Digital Services Act (DSA) impose désormais aux grandes plateformes une responsabilité accrue quant aux risques générés par leurs services numériques. L’Artificial Intelligence Act (AI Act) entend quant à lui encadrer certains usages de l’intelligence artificielle en fonction de leur niveau de risque.

Bien que poursuivant des objectifs différents, ces textes reposent sur une même logique : encourager l’innovation tout en veillant à ce que les technologies numériques demeurent compatibles avec les droits fondamentaux et les exigences de transparence.

Les entreprises qui développent ou utilisent des systèmes automatisés sont ainsi invitées à anticiper les conséquences concrètes de ces outils et à mettre en place des garanties adaptées lorsque leur utilisation est susceptible d’avoir un impact significatif sur les personnes concernées.

 

Quand les décisions automatisées deviennent un enjeu de conformité

Avec une amende de 824 990 000 euros, les autorités européennes de protection des données ont adressé un message particulièrement clair aux acteurs de l’économie numérique.

La conformité ne repose plus uniquement sur la sécurité des données collectées ou sur la rédaction d’une politique de confidentialité. Elle implique également une réflexion approfondie sur les modalités concrètes selon lesquelles les décisions sont prises et appliquées.

Plus largement, cette affaire témoigne de l’attention croissante portée par les autorités européennes aux mécanismes décisionnels fondés sur la donnée et l’intelligence artificielle.

À mesure que les algorithmes occupent une place croissante dans l’organisation du travail, les autorités européennes semblent vouloir préserver un principe fondamental : lorsqu’une décision est susceptible de transformer significativement la vie personnelle et professionnelle d’une personne, celle-ci doit pouvoir faire l’objet d’un examen effectif et ne pas dépendre exclusivement d’un traitement automatisé.

Au-delà du cas particulier d’Uber, cette décision pourrait ainsi constituer une référence importante pour l’ensemble des entreprises ayant recours à des systèmes algorithmiques dans la gestion de leurs activités. Elle rappelle que l’innovation technologique et la protection des droits des individus ne sont pas incompatibles, mais qu’elles doivent désormais être pensées conjointement.

 

 

Ines Muccioli, praticante avvocato, CastaldiPartners