Le 24 août 2026, la CNIL a annoncé qu’en coopération avec l’autorité néerlandaise de protection des données, une amende de 824 990 000 euros avait été prononcée contre UBER B.V. et UBER TECHNOLOGIES INC. au sujet de décisions individuelles automatisées concernant des chauffeurs. L’affaire est un signal majeur pour toute entreprise qui suspend un compte, écarte un candidat, déclenche un contrôle antifraude, attribue un score ou refuse une prestation à partir de données personnelles.
La question n’est pas de savoir si un algorithme peut être utilisé. Une entreprise peut automatiser une partie de son activité. Le risque juridique apparaît lorsque la sortie du système détermine, à elle seule, une mesure qui prive une personne d’un revenu, d’un service, d’un contrat, d’une possibilité d’embauche ou d’un accès à son compte. Une validation humaine purement formelle ne suffit pas toujours à changer cette qualification.
Ce qui suit s’adresse au dirigeant, au responsable conformité, au directeur des ressources humaines et au responsable d’une plateforme. Il faut distinguer la simple aide au tri, la détection d’un signal et la décision finale, puis conserver les éléments permettant de démontrer que la donnée était pertinente, que la personne a été informée et qu’un examen réel était possible. La sanction Uber rappelle aussi qu’un fournisseur de logiciel ou un prestataire d’intelligence artificielle ne fait pas disparaître la responsabilité de l’entreprise qui utilise le résultat.
I. Amende Uber de 825 millions : quand une décision d’entreprise devient-elle une décision automatisée interdite ?
A. Désactiver ou refuser un compte produit-il un effet juridique ou significatif ?
La communication officielle de la CNIL du 24 août 2026 indique que l’autorité néerlandaise a sanctionné deux sociétés UBER pour des décisions individuelles automatisées concernant les chauffeurs. La procédure s’inscrivait dans une coopération européenne, UBER ayant son établissement principal aux Pays-Bas. La CNIL précise que la plainte collective avait notamment porté sur l’information des chauffeurs, les transferts de données hors de l’Union européenne et les déconnexions temporaires ou définitives.
Le point opérationnel se trouve dans la nature des mesures. La désactivation temporaire en cas de suspicion de fraude, puis la désactivation temporaire ou définitive en cas de note basse, étaient considérées comme des décisions individuelles automatisées en raison de « l’absence totale d’intervention humaine ». La CNIL relève également qu’un chauffeur privé de son compte ne peut plus effectuer de courses ni générer de revenus. Le raisonnement est transposable à d’autres modèles économiques dès lors qu’une décision automatique atteint concrètement la situation d’une personne.
Le recours propre au chauffeur VTC confronté à une suspension algorithmique fait l’objet d’une analyse distincte sur le site du cabinet. Le présent article traite un autre angle : les obligations de gouvernance et de preuve de l’entreprise qui conçoit, paramètre ou utilise un système de décision automatisée.
Le dossier de la CNIL sur le profilage et la décision entièrement automatisée rappelle trois éléments à examiner : la décision doit concerner une personne physique, être fondée exclusivement sur un traitement automatisé et produire des effets juridiques ou l’affecter de manière significative. La perte d’un emploi, le refus d’un crédit, l’exclusion d’un service essentiel, la fermeture d’un compte professionnel ou la baisse brutale d’une rémunération peuvent entrer dans cette analyse. Le nom commercial de la fonction ne compte pas : « score de risque », « contrôle qualité », « sécurité », « confiance » ou « classement » peuvent recouvrir une décision individuelle.
L’article 22 du RGPD pose le principe selon lequel « la personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé ». Ce texte ne rend pas tout calcul statistique illicite. Il impose en revanche une qualification précise de la décision et des garanties lorsque l’une des exceptions est invoquée. Un moteur qui signale un dossier à un agent n’est pas dans la même situation qu’un moteur qui ferme immédiatement le compte à la suite de ce signal.
Une entreprise doit donc décrire la chaîne complète. Le modèle collecte-t-il des données ? Produit-il un score ? Le score déclenche-t-il automatiquement un gel, un refus, une baisse de plafond, une résiliation ou un signalement ? Un salarié peut-il réellement modifier la sortie du système ? La personne qui intervient dispose-t-elle de pouvoirs, d’un délai et d’informations suffisants pour vérifier les faits ? Tant que ces questions restent sans réponse, la mention « une équipe peut revoir la décision sur demande » ne constitue pas nécessairement une garantie effective.
La distinction entre effet juridique et effet significatif doit être appréciée concrètement. Une entreprise de transport qui rend un compte inutilisable prive l’intéressé d’une relation contractuelle et d’une possibilité de travailler. Une place de marché qui retire définitivement un vendeur lui ferme l’accès à sa clientèle. Un assureur ou un financeur qui applique un score à une personne peut influer sur sa situation financière. Une société qui classe automatiquement un candidat peut réduire son accès à l’emploi, même si le refus final est présenté comme une décision de ressources humaines.
À l’inverse, un classement interne sans conséquence individuelle immédiate, un outil de recherche documentaire ou une alerte destinée à attirer l’attention d’un opérateur ne produit pas automatiquement un effet relevant de l’article 22. Cette conclusion doit toutefois être documentée. Un système qui ne prend pas formellement la décision mais dont l’agent suit toujours la recommandation peut être regardé, dans les faits, comme le véritable décideur. La question porte sur l’autonomie de l’intervention humaine et sur la possibilité de contredire le résultat, pas seulement sur l’existence d’un bouton « valider ».
La sanction Uber ne dispense pas non plus d’examiner les règles contractuelles. Une suspension peut être prévue par les conditions générales, mais la clause ne donne pas carte blanche pour traiter des données sans base juridique, utiliser un critère inexact ou priver une personne d’un recours effectif. Le contrat, l’information donnée au moment de la collecte et le fonctionnement du dispositif doivent être cohérents. Une entreprise qui applique une règle générale à un cas individuel doit pouvoir expliquer pourquoi la mesure était nécessaire et comment une erreur pouvait être corrigée.
Pour une société qui exploite une plateforme, la première mesure consiste à dresser une cartographie des décisions produisant un effet sur les utilisateurs, les clients professionnels, les vendeurs et les travailleurs indépendants. La fermeture de compte, la limitation de paiement, le déréférencement, la baisse de visibilité, la suspension d’un portefeuille, le classement dans une catégorie de risque et le rejet d’une demande doivent être examinés séparément. Une analyse globale intitulée « algorithme antifraude » est trop vague pour déterminer les garanties à mettre en place.
B. Quel rôle doit réellement jouer l’humain avant la décision ?
L’intervention humaine doit se situer au niveau de la décision et non après une exécution irréversible. Une personne doit pouvoir consulter les éléments pertinents, comprendre la raison du signal, vérifier les données, entendre le point de vue de l’intéressé lorsque la procédure le prévoit et choisir une issue différente. Elle doit aussi être identifiée dans la procédure interne et disposer d’une compétence suffisante. La simple retranscription du score ou le contrôle d’une case préremplie ne répond pas à cette exigence.
Le RGPD prévoit des exceptions à l’interdiction de principe : la décision peut être nécessaire à la conclusion ou à l’exécution d’un contrat, autorisée par un texte qui prévoit des garanties ou fondée sur un consentement explicite. Dans les hypothèses du contrat et du consentement, l’article 22 impose au moins la possibilité d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision. L’entreprise doit pouvoir démontrer la nécessité de l’automatisation ; une simple économie de temps ou de personnel n’est pas toujours suffisante.
La transparence doit intervenir avant la décision et au moment où la personne demande des explications. L’information doit identifier l’existence d’une décision automatisée, les catégories de données utilisées, la logique générale du traitement, les conséquences attendues et le canal de contestation. La logique générale ne signifie pas nécessairement livrer le code source ou révéler un secret industriel. Elle impose de donner une explication intelligible : quelles catégories de faits ont été retenues, quelle erreur peut entraîner le blocage, quelle durée s’applique et quel humain peut reprendre le dossier.
La conservation des données doit être proportionnée. Une entreprise ne peut pas conserver indéfiniment l’ensemble des traces de navigation, des conversations, des évaluations et des signaux de géolocalisation au seul motif qu’un futur modèle pourrait en avoir besoin. Elle doit déterminer la finalité, la base juridique, la durée, les personnes habilitées et les mesures de sécurité. Une donnée erronée peut contaminer tout le raisonnement : la correction doit être possible avant qu’un score ne déclenche une exclusion.
Le fournisseur du logiciel doit être encadré par un contrat précis. Il faut savoir qui détermine les finalités, qui choisit les données, qui configure les seuils, qui garde les journaux, qui répond aux demandes et qui intervient en cas d’incident. Une clause qui promet seulement un service disponible ne garantit ni l’explicabilité ni la conservation des preuves. L’entreprise utilisatrice doit demander une documentation sur les versions du modèle, les changements de paramètres, les tests de biais, les taux d’erreur et la réversibilité d’une décision.
Les règles françaises du travail ajoutent des exigences lorsque l’algorithme touche les salariés ou les candidats. L’article L. 1121-1 du code du travail interdit les restrictions qui ne seraient pas justifiées par la tâche et proportionnées au but recherché. Cette exigence de proportionnalité s’applique à un dispositif de surveillance, d’évaluation ou de classement, y compris lorsqu’il est fourni par un tiers. Le texte commence par les mots : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions ».
Pour l’évaluation professionnelle, l’article L. 1222-3 du code du travail prévoit que le salarié est informé préalablement des méthodes et techniques utilisées. Il exige aussi que « les méthodes et techniques d’évaluation des salariés doivent être pertinentes au regard de la finalité poursuivie ». Un outil qui mesure la ponctualité ne peut pas être présenté comme un indicateur fiable de loyauté, de performance commerciale ou de risque disciplinaire sans démonstration complémentaire.
L’article L. 1222-4 du code du travail ajoute une règle claire : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ». La collecte dissimulée d’informations destinées à alimenter un score de comportement fragilise la décision et la preuve produite ensuite. La direction doit pouvoir produire la notice, la charte, l’information du comité social et économique lorsqu’elle est requise et la date à laquelle chaque dispositif a été porté à la connaissance des personnes.
La Cour de cassation a précisé les conséquences probatoires de ces manquements. Dans l’arrêt du 8 octobre 2014, pourvoi n° 13-14.991, la chambre sociale a retenu que « constituent un moyen de preuve illicite les informations collectées par un système de traitement automatisé de données personnelles avant sa déclaration à la CNIL ». Le cadre réglementaire a évolué depuis cette décision, mais l’enseignement reste utile : la régularité du dispositif et la loyauté de la collecte doivent être examinées avant de produire un résultat contre une personne.
Dans un arrêt du 13 septembre 2023, pourvoi n° 22-14.461, la Cour a rappelé que le juge doit mettre en balance le respect de la vie personnelle et le droit à la preuve. Elle admet qu’une preuve portant atteinte à la vie personnelle puisse être discutée si sa production est « indispensable à l’exercice de ce droit » et si l’atteinte est « strictement proportionnée au but poursuivi ». Pour une entreprise, cela impose de limiter les données collectées et de savoir expliquer pourquoi chaque élément était nécessaire à la décision ou au litige.
Un contrôle humain est également essentiel pour repérer une discrimination indirecte. L’article L. 1132-1 du code du travail interdit qu’une personne soit écartée d’un recrutement ou fasse l’objet d’une mesure discriminatoire, notamment en raison de son origine, de son sexe, de son âge, de son lieu de résidence, de son état de santé ou de son handicap. Les termes de l’algorithme peuvent être neutres tout en reproduisant un biais dans les données historiques : le contrôle humain doit examiner les résultats, pas seulement la conformité apparente de la formule.
Lors d’un recrutement, l’article L. 1221-6 du code du travail dispose que les informations demandées au candidat ne peuvent avoir pour finalité que d’apprécier sa capacité à occuper l’emploi ou ses aptitudes professionnelles. L’article L. 1221-8 prévoit, lui, que le candidat est expressément informé avant la mise en œuvre des méthodes d’aide au recrutement et que ces méthodes doivent être pertinentes. Un outil de tri de CV qui élimine automatiquement un profil selon un critère non relié au poste doit donc être suspendu, audité et corrigé avant toute nouvelle campagne.
Ces règles ne concernent pas uniquement les grands groupes. Une jeune entreprise qui confie ses contrôles à un prestataire reste responsable de la décision prise à l’égard de la personne. Une PME qui utilise un module de scoring intégré à son logiciel de recrutement doit vérifier sa documentation. Un site marchand qui bloque un client fidèle sur la base d’un signal antifraude doit prévoir un canal humain. Le volume de données ou la taille de la société peut moduler l’organisation, mais ne transforme pas une décision individuelle en simple opération technique.
II. Que doit faire une entreprise avant de classer, suspendre ou exclure une personne ?
A. Quelles informations, preuves et garanties faut-il documenter ?
Une entreprise doit commencer par établir une fiche pour chaque décision automatisée. Cette fiche doit indiquer la personne ou la catégorie de personnes concernée, l’événement déclencheur, les données utilisées, la sortie du modèle, l’action appliquée, la durée de la mesure, la possibilité de réexamen et le service responsable. Cette description permet de distinguer une alerte interne d’une décision qui modifie réellement les droits, les revenus ou l’accès au service.
La deuxième étape consiste à qualifier la décision au regard de l’article 22 du RGPD. L’entreprise doit répondre par écrit aux questions suivantes : y a-t-il une intervention humaine avant l’effet ? Le résultat du modèle est-il obligatoire pour le décideur ? La personne peut-elle demander un réexamen par un agent différent ? La mesure affecte-t-elle une relation contractuelle ou une activité professionnelle ? Les données sont-elles personnelles, même si elles sont présentées sous forme d’identifiant, de score ou de pseudonyme ? Le silence sur une seule de ces questions crée une zone de risque qui doit être traitée avant le déploiement.
La troisième étape est la vérification de la base juridique et de la nécessité. Le contrat peut justifier un traitement nécessaire à son exécution, mais l’entreprise doit décrire le lien entre la donnée et la mesure. Une collecte générale de données comportementales ne devient pas nécessaire parce qu’elle permet d’obtenir un meilleur taux de détection. Le consentement doit être réellement libre, spécifique et révocable ; il ne peut pas être noyé dans l’acceptation globale des conditions d’utilisation. Une autorisation légale doit être précise et accompagnée des garanties prévues par le texte.
La quatrième étape porte sur la transparence. La notice d’information doit être rédigée pour être comprise par la personne qui subit la décision, et non uniquement par le service informatique. Elle doit dire qu’un système intervient, préciser la finalité, donner les grandes catégories de données, indiquer les conséquences possibles et expliquer comment obtenir une intervention humaine. Une entreprise qui se contente d’une formule comme « nos outils peuvent effectuer des contrôles automatisés » ne décrit pas clairement une fermeture de compte ou un refus de paiement.
La cinquième étape est le test des données. Pour chaque variable, il faut connaître la source, la date, la qualité, la durée de conservation et la relation avec la finalité. Les données achetées à un courtier, collectées auprès d’un partenaire, extraites d’un commentaire ou déduites d’un comportement peuvent être inexactes. Une entreprise doit également rechercher les proxys d’une caractéristique protégée : code postal, horaires, langue, type d’appareil ou historique d’activité peuvent produire une discrimination indirecte. La correction d’une donnée doit déclencher le réexamen des décisions prises sur sa base lorsque la mesure est toujours active ou a produit un dommage.
La sixième étape est l’analyse d’impact relative à la protection des données lorsque le traitement est susceptible d’engendrer un risque élevé. La CNIL indique notamment qu’un traitement impliquant un profilage ou une prise de décision automatisée peut rendre l’AIPD nécessaire. L’analyse doit présenter les opérations, les risques, les mesures de réduction, les scénarios d’erreur et la décision prise par le responsable du traitement. Elle ne doit pas être un document figé : un changement de fournisseur, de seuil, de données ou de finalité impose de vérifier si elle reste pertinente.
La septième étape est la gouvernance. Le délégué à la protection des données, lorsqu’il est désigné, doit être associé à la conception et au contrôle. Les équipes juridiques, métiers, techniques, sécurité et ressources humaines doivent connaître leurs responsabilités. Le contrat avec le sous-traitant doit organiser les audits, les demandes d’accès, la restitution des données, la notification des incidents, la localisation des traitements, les transferts internationaux et la fin du service. Le dirigeant doit pouvoir montrer qui a validé la mise en production et qui peut arrêter le système si une erreur grave est détectée.
La huitième étape est la tenue des journaux. Une décision contestée doit pouvoir être reconstituée : version du modèle, paramètres, données d’entrée, score ou règle déclenchée, date et heure, résultat, agent ayant examiné le dossier, pièces consultées et motif de la décision. Les journaux doivent être protégés contre la modification et accessibles aux seules personnes habilitées. Il faut définir à l’avance leur durée de conservation, en conciliant la minimisation des données avec la nécessité de défendre l’entreprise en cas de contestation.
La preuve doit être compréhensible par un juge ou une autorité, pas seulement par le développeur. Un fichier de traces illisible ou un tableau qui ne permet pas d’identifier la règle appliquée ne suffit pas à démontrer une décision individualisée régulière. Dans un litige, l’entreprise doit pouvoir expliquer le chemin entre le fait constaté et la mesure prise. Le prestataire doit lui remettre une documentation exploitable, y compris lorsque le modèle est présenté comme propriétaire ou secret.
La jurisprudence relative aux fichiers professionnels illustre l’importance de la qualification des données. Dans l’arrêt du 7 décembre 2022, pourvoi n° 20-18.922, la Cour de cassation rappelle que les fichiers créés avec l’outil professionnel sont présumés, sauf identification comme personnels, « avoir un caractère professionnel ». Cette présomption ne donne pas le droit de tout collecter ni de tout exploiter : la finalité, l’information et la proportionnalité restent à vérifier. Elle montre surtout qu’un employeur doit connaître la nature de chaque donnée avant de l’utiliser comme preuve ou comme signal de performance.
La protection de la vie privée ne s’arrête pas à la relation de travail. L’article 9 du code civil énonce que « chacun a droit au respect de sa vie privée ». Une entreprise qui conserve des profils, des échanges, des habitudes de déplacement ou des éléments de vie personnelle doit pouvoir justifier l’accès et l’usage de ces données. Le juge peut prescrire des mesures pour empêcher ou faire cesser une atteinte, notamment en urgence, lorsque les conditions sont réunies.
Une faute dans la conception ou l’utilisation du système peut aussi engager la responsabilité civile. L’article 1240 du code civil dispose que « tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». La preuve du dommage dépendra du dossier : perte de revenus, rupture d’une relation commerciale, refus d’embauche, frais exposés, atteinte à la réputation ou temps consacré à corriger une erreur. Une entreprise doit conserver les éléments qui permettent d’évaluer l’effet de la mesure, sans aggraver l’atteinte aux données personnelles.
Avant de prononcer une suspension définitive, la procédure interne doit prévoir une mesure proportionnée. Le blocage immédiat peut être défendable lorsque la sécurité des personnes ou des fonds est en jeu, mais il doit être limité, réexaminé et motivé. Lorsque la situation le permet, une demande de justificatifs, une limitation temporaire des fonctionnalités ou une vérification humaine sont préférables à une fermeture irréversible. Le décideur doit aussi vérifier que l’intéressé a reçu le moyen de transmettre une pièce ou une explication.
Enfin, il faut préparer la sortie de crise. Une entreprise doit savoir qui reçoit une demande de réexamen, qui répond à la personne, qui informe le fournisseur, qui déclare un incident éventuel et qui décide de rétablir le compte. Une erreur algorithmique répétée peut toucher de nombreuses personnes : chaque décision individuelle doit être recherchée et corrigée, et pas seulement le cas qui a déclenché la réclamation. Le contrôle après mise en production doit mesurer les faux positifs, les faux négatifs, les écarts entre groupes et les délais de traitement des contestations.
B. Quels recours et quels risques pour l’entreprise à Paris et en Île-de-France ?
La personne touchée par une décision algorithmique doit agir sur deux plans : préserver la preuve et demander une correction. Elle doit conserver la notification de suspension ou de refus, les courriels, les captures d’écran, les justificatifs transmis, les dates d’accès au compte, les factures, les contrats et les conséquences financières. Si la décision concerne un salarié ou un candidat, il faut également garder l’offre d’emploi, la notice d’information, les échanges avec les ressources humaines et tout document décrivant l’outil d’évaluation.
Une demande écrite peut ensuite identifier la décision contestée et demander l’existence d’une décision automatisée, les catégories de données utilisées, la logique générale, la date et les conséquences de la mesure, la rectification des données inexactes, la limitation du traitement lorsque les conditions sont remplies et l’intervention d’un humain. Il faut demander une réponse exploitable, pas seulement une confirmation automatique. La demande doit rester factuelle : une entreprise répond plus facilement lorsque le compte, la période, la mesure et la pièce contestée sont précisément désignés.
Lorsque la décision a été prise au titre d’une exception de l’article 22, la personne peut demander qu’un humain examine réellement son point de vue et conteste le résultat. Un recours interne ne prive pas la personne des autres voies disponibles. Une réclamation auprès de la CNIL peut porter sur l’information, la base juridique, la conservation, la qualité des données, l’absence de garanties ou l’absence de réponse aux droits. Si la personne subit un dommage contractuel ou professionnel, une action devant la juridiction compétente peut être envisagée selon la relation, la qualité des parties et les mesures demandées.
À Paris et en Île-de-France, le choix de la juridiction ne doit pas être fait uniquement parce que le siège social ou le prestataire informatique se trouve dans la région. Un litige entre une personne et une plateforme, une contestation d’un candidat, un contentieux de salarié et un différend entre deux sociétés ne relèvent pas des mêmes règles. Le conseil de prud’hommes peut être concerné lorsque la décision touche l’exécution ou la rupture du contrat de travail. Le tribunal judiciaire peut être compétent pour certains litiges de données personnelles ou de responsabilité. Le tribunal de commerce peut intervenir dans un litige entre commerçants lorsque les conditions sont réunies. Le contrat, le lieu de travail, le domicile, la nature du dommage et la mesure urgente demandée doivent être vérifiés avant toute saisine.
Une entreprise installée à Paris ou en Île-de-France doit donc désigner un interlocuteur local capable de réunir rapidement les équipes conformité, informatique, ressources humaines et direction. Une réclamation reçue à Paris mais transférée pendant plusieurs semaines entre le fournisseur, le DPO et le service client peut aggraver le dommage. Le délai de réponse, la continuité de l’activité et la conservation des journaux doivent être organisés avant la crise. Lorsque la mesure menace un emploi, un revenu ou une relation contractuelle en cours, l’urgence doit être appréciée avec les pièces qui démontrent la conséquence immédiate.
Le dossier de l’entreprise doit être préparé comme un dossier contentieux avant même qu’un procès existe. Il doit contenir la version des conditions contractuelles applicables à la date des faits, la notice de confidentialité, la documentation de la décision, les données utilisées, les règles de seuil, les mesures de sécurité, les échanges avec le prestataire et la preuve de l’intervention humaine. Il faut éviter toute suppression ou réécriture des journaux après une contestation. Une politique de conservation et une mise sous sauvegarde des éléments pertinents protègent à la fois la défense de l’entreprise et les droits de la personne.
Le risque financier ne se limite pas à une amende administrative. Une décision erronée peut provoquer une demande de rétablissement sous astreinte, une restitution de revenus, des dommages-intérêts, la résiliation d’un contrat, une perte de clientèle et des coûts d’audit. Lorsque plusieurs personnes ont subi la même règle, la société peut devoir identifier un ensemble de décisions, informer les personnes concernées et réviser le modèle. Une communication défensive qui accuse automatiquement les utilisateurs de fraude peut aussi créer un risque de réputation et de diffamation si les faits ne sont pas établis.
La société qui veut limiter ce risque doit mettre en place un protocole de réponse en quatre temps. D’abord, suspendre la décision irréversible ou la rendre réexaminable lorsque la sécurité ne commande pas un blocage complet. Ensuite, préserver les données et ouvrir une analyse contradictoire. Puis, informer la personne du résultat et corriger les conséquences concrètes : réactivation, réexamen d’une candidature, paiement retenu, rétablissement d’une visibilité ou suppression d’un signal erroné. Enfin, corriger la cause : seuil, donnée, formation du personnel, contrat du fournisseur ou information communiquée.
Une société qui envisage de déployer un outil de classement, d’évaluation ou de détection peut aussi demander un audit contractuel et documentaire avant la mise en production. Le contentieux commercial peut s’articuler avec une analyse de données et de responsabilité lorsque le dysfonctionnement affecte un partenaire ou un client professionnel. La rédaction des contrats commerciaux doit, elle, prévoir les obligations de coopération, d’accès aux journaux, de sécurité, de réversibilité et de prise en charge des réclamations avec l’éditeur de la solution.
La décision Uber est un rappel utile pour les entreprises françaises : un système conçu pour lutter contre la fraude ou protéger une plateforme peut devenir juridiquement vulnérable si la décision la plus lourde est prise sans examen humain, sans explication et sans voie de contestation. L’objectif n’est pas de supprimer les outils automatisés, mais de démontrer que l’automatisation reste sous contrôle, que les données sont pertinentes et que la personne n’est pas réduite à un score inaccessible.
Conclusion
L’amende de 824,99 millions d’euros annoncée après l’affaire Uber oblige les entreprises à regarder leurs algorithmes comme des dispositifs de décision et non comme de simples fonctionnalités informatiques. La désactivation d’un compte, le refus d’une prestation, la baisse d’un plafond, l’exclusion d’un vendeur ou l’élimination d’un candidat peuvent produire un effet juridique ou significatif même si l’entreprise conserve le dernier clic de validation.
Avant le déploiement, l’entreprise doit cartographier les décisions, qualifier l’article 22 du RGPD, choisir une base juridique, limiter les données, informer les personnes, réaliser une AIPD si le risque l’exige, organiser une intervention humaine et encadrer le fournisseur. Après la décision, elle doit conserver la preuve, permettre une contestation réelle, corriger les données et réparer les conséquences d’une erreur. Pour un salarié ou un candidat, les articles L. 1121-1, L. 1222-3, L. 1222-4, L. 1221-6, L. 1221-8 et L. 1132-1 du code du travail ajoutent des garanties fortes.
Une entreprise qui reçoit une contestation doit traiter le dossier rapidement, sans effacer les journaux ni laisser le prestataire répondre à sa place. La réponse juridique dépendra du statut de la personne, du contrat, de la nature des données, de l’urgence et du dommage. L’audit du processus et la sécurisation de la preuve doivent commencer dès la première alerte.
Besoin d’un avis rapide sur votre dossier.
Une consultation téléphonique en 48 heures avec un avocat du cabinet permet d’examiner la décision algorithmique, les données utilisées et les premières mesures à prendre.
Vous pouvez appeler le cabinet au 06 46 60 58 22 ou utiliser le formulaire de contact pour organiser un échange à Paris et en Île-de-France.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.