Le 24 août 2026, l’autorité néerlandaise de protection des données, en coopération avec la CNIL, a annoncé une amende de 824 990 000 euros contre UBER B.V. et UBER TECHNOLOGIES INC. La sanction porte sur des décisions individuelles automatisées prises à l’égard de chauffeurs de la plateforme. Des comptes ont été désactivés temporairement ou définitivement, notamment en présence d’une suspicion de fraude ou d’une notation jugée trop basse, sans intervention humaine dans le processus décrit par la CNIL. Pour un chauffeur privé de l’accès à l’application, la conséquence est immédiate : impossibilité d’effectuer des courses et de générer des revenus.

L’affaire dépasse donc le seul secteur des véhicules de transport avec chauffeur. Une entreprise qui bloque un compte, refuse une commande, écarte un candidat, classe un fournisseur, modifie un tarif ou déclenche une procédure de recouvrement à partir d’un score peut entrer dans le champ des décisions automatisées du règlement général sur la protection des données (RGPD). La qualification dépend du rôle réel de l’algorithme, de l’intervention humaine et de l’effet produit sur la personne concernée. Une validation humaine purement formelle ne suffit pas à sécuriser un dispositif qui prend, en pratique, la décision à la place de l’entreprise.

La question pratique est désormais la suivante : comment une société doit-elle vérifier son dispositif, informer les personnes concernées et organiser un recours effectif ? La réponse impose de distinguer l’aide à la décision de la décision entièrement automatisée, de documenter les données et les règles utilisées, de préserver les preuves et de donner à une personne compétente le pouvoir de réexaminer le résultat. Les solutions proposées ci-dessous concernent les plateformes, les banques, les assureurs, les recruteurs, les entreprises de services et leurs sous-traitants. Elles s’inscrivent dans le champ plus large du droit des affaires, dès lors qu’un outil numérique affecte une relation contractuelle ou l’activité d’une société.

I. Uber sanctionné pour décisions automatisées : quand l’algorithme produit-il un effet juridique ou significatif ?

A. Que révèle la sanction de 824,99 millions d’euros sur les désactivations de comptes ?

La première précision est institutionnelle. La CNIL n’a pas présenté cette amende comme une sanction française autonome. Elle indique que l’autorité néerlandaise était compétente parce que l’établissement principal d’Uber se trouvait aux Pays-Bas. La procédure a été conduite dans le cadre du mécanisme de coopération et de cohérence du RGPD, avec une participation étroite de la CNIL aux contrôles, à l’analyse des preuves et à l’examen du projet de décision. Cette distinction importe pour une entreprise française qui travaille avec un groupe établi dans plusieurs États : la compétence d’une autorité européenne ne fait pas disparaître les obligations applicables aux opérations réalisées en France.

La communication officielle de la CNIL du 24 août 2026 décrit trois éléments particulièrement instructifs. La plainte collective a été portée en 2020 par la Ligue des droits de l’Homme pour plus de 170 chauffeurs, puis complétée en 2021. Elle visait notamment l’information des chauffeurs, certains transferts de données hors de l’Union européenne et les déconnexions temporaires ou définitives. Le dernier volet concernait les suspensions déclenchées par la suspicion de fraude ou par une notation basse. L’autorité retient l’absence totale d’intervention humaine dans le processus de décision et relève que les blocages empêchent les chauffeurs de travailler.

Le chiffre de 824 990 000 euros ne transforme pas chaque outil algorithmique en infraction. Il montre en revanche qu’une décision présentée comme une mesure technique peut produire un effet économique suffisamment sérieux pour déclencher les règles protectrices de l’article 22 du RGPD. La CNIL résume ce point en indiquant que les décisions « affectent de manière significative les chauffeurs ». L’entreprise doit regarder le résultat concret pour la personne : perte d’accès à un service, diminution de revenus, refus d’un crédit, exclusion d’un marché, augmentation individualisée d’un tarif ou impossibilité de poursuivre une activité professionnelle.

Le RGPD distingue le profilage et la décision automatisée. Le profilage consiste à analyser des données personnelles afin d’évaluer ou de prédire certains aspects d’une personne. La fiche de la CNIL consacrée au profilage et à la décision entièrement automatisée rappelle qu’un profil peut porter sur les performances professionnelles, la situation financière, les préférences, les habitudes ou le comportement. La définition réglementaire du profilage figure également dans l’article 4 du RGPD. Une décision automatisée peut toutefois être prise sans profilage préalable. Inversement, un profilage peut seulement aider un salarié ou un comité à décider et ne pas entraîner une décision prise exclusivement par la machine.

L’article 22 du RGPD pose le principe central : « La personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé ». Quatre questions permettent de vérifier si ce texte est susceptible de s’appliquer :

1. Le système traite-t-il des données se rapportant à une personne identifiée ou identifiable ? Un identifiant de compte, un historique de courses, une adresse IP, une note, un signal de fraude ou un historique de paiement peuvent constituer des données personnelles lorsqu’ils sont rattachés à une personne.
2. Le résultat est-il une décision individuelle ? Un tableau statistique général ou une prévision portant sur un groupe ne suffit pas. La fermeture du compte d’un chauffeur, le refus d’un dossier déterminé ou l’exclusion d’un candidat sont, par nature, individualisés.
3. Aucun être humain n’a-t-il réellement participé à la décision ? Il faut rechercher qui vérifie le signal, quelles pièces cette personne peut consulter, si elle peut modifier le résultat et si son intervention arrive avant la mesure.
4. La décision produit-elle des effets juridiques ou affecte-t-elle significativement la personne ? La perte d’un droit contractuel, d’un revenu, d’un accès à un service ou d’une possibilité professionnelle peut satisfaire cette condition, même en l’absence de licenciement ou de rupture formelle.

La combinaison est importante. Un logiciel qui signale un risque de fraude à un analyste, lequel examine les éléments pertinents, entend la personne et peut écarter le signal, n’est pas nécessairement une décision exclusivement automatisée. Le même logiciel, relié à une règle qui désactive automatiquement le compte après un seuil, présente un risque très différent. L’étiquette « contrôle humain » ne protège pas l’entreprise si l’opérateur ne fait qu’appuyer sur un bouton, ne connaît pas la logique de la recommandation, n’a pas accès aux données utiles ou ne dispose d’aucun délai pour vérifier le dossier.

Le droit français ajoute une formulation particulièrement nette. L’article 47 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés prévoit qu’« Aucune décision produisant des effets juridiques à l’égard d’une personne ou l’affectant de manière significative ne peut être prise sur le seul fondement d’un traitement automatisé de données à caractère personnel ». Les exceptions renvoient notamment aux hypothèses prévues par l’article 22, paragraphe 2, du RGPD et restent accompagnées de garanties. Une clause générale des conditions générales d’utilisation ne constitue pas, à elle seule, une garantie appropriée.

Les trois exceptions de l’article 22, paragraphe 2, doivent être lues avec prudence. La décision peut être nécessaire à la conclusion ou à l’exécution d’un contrat, autorisée par une règle de droit prévoyant des mesures adaptées, ou fondée sur le consentement explicite de la personne. L’exception contractuelle ne signifie pas que l’entreprise peut automatiser toute mesure utile à son modèle économique. Elle doit démontrer la nécessité du dispositif, vérifier qu’une solution moins attentatoire n’existe pas et garantir au minimum une intervention humaine, la possibilité d’exprimer un point de vue et un recours. Le texte exige « au moins du droit de la personne concernée d’obtenir une intervention humaine de la part du responsable du traitement, d’exprimer son point de vue et de contester la décision ».

Un autre point ressort de l’affaire Uber : le statut professionnel de la personne ne règle pas la question du RGPD. Un chauffeur peut être salarié, travailleur indépendant ou lié par une relation commerciale, sans perdre ses droits en matière de données personnelles. La qualification du contrat peut ajouter des obligations de droit du travail ou de droit commercial, mais l’entreprise qui détermine les finalités et les moyens du traitement doit, dans tous les cas, identifier sa responsabilité au regard du RGPD. L’absence de lien de subordination ne transforme pas une désactivation économique en décision neutre.

La date des faits ne doit pas non plus conduire à minimiser le risque. Les traitements examinés peuvent avoir été conçus plusieurs années avant la sanction. Une mise à jour actuelle du logiciel ne fait pas disparaître les décisions prises auparavant, les journaux d’événements, les réclamations restées sans réponse ou les défauts d’information. Il faut donc conserver l’historique des versions, des règles, des seuils et des interventions, en respectant les durées de conservation et la minimisation des données.

B. Quelles vérifications une entreprise doit-elle effectuer avant de maintenir une décision automatisée ?

Une revue sérieuse commence par les décisions, et non par le nom du fournisseur d’intelligence artificielle. Une entreprise peut utiliser un progiciel ancien, un outil de notation, une règle de moteur de paiement ou un modèle statistique sans le qualifier comme de l’intelligence artificielle. Le vocabulaire commercial ne dispense pas d’examiner les effets. La direction, le délégué à la protection des données, la direction juridique, la sécurité informatique et les équipes métier doivent établir une liste exhaustive des situations dans lesquelles un programme influence le sort d’une personne.

Cette cartographie doit couvrir au moins les accès aux comptes, les décisions d’acceptation ou de refus, la notation des clients ou fournisseurs, la détection de fraude, la fixation individualisée des prix, la suspension des paiements, le recrutement, l’évaluation des salariés, l’attribution des horaires, la sélection des candidatures et les décisions de résiliation. Il faut identifier, pour chaque cas, la personne qui reçoit le résultat, la personne qui signe ou déclenche la mesure, le délai entre le signal et la décision, ainsi que les recours disponibles.

La deuxième étape porte sur les données. L’équipe doit savoir quelles données alimentent le système, d’où elles proviennent, à quelle date elles ont été collectées, comment elles sont rapprochées et pendant combien de temps elles sont conservées. Une donnée apparemment anodine peut devenir sensible lorsqu’elle est combinée avec d’autres. Une note, une localisation, des horaires de connexion, les réclamations d’un client, des données de santé ou une information syndicale peuvent modifier le profil obtenu. Les données doivent être exactes, pertinentes, à jour et limitées à la finalité annoncée.

La troisième étape est le test de l’intervention humaine. Il ne suffit pas de placer un opérateur entre l’algorithme et la personne concernée. L’intervention doit être compétente, individualisée et capable de modifier le résultat. L’opérateur doit connaître les facteurs déterminants, consulter les éléments contestés, demander des informations complémentaires, suspendre l’exécution automatique et motiver sa décision. Un service saturé qui confirme toutes les alertes ou une procédure dans laquelle l’opérateur ne peut pas déroger au score ne correspond pas à une intervention humaine effective.

Il faut ensuite établir la base juridique de chaque traitement. L’exécution d’un contrat, l’obligation légale, l’intérêt légitime ou le consentement ne sont pas interchangeables. Le responsable du traitement doit relier la base choisie à une finalité précise et vérifier qu’elle couvre la décision envisagée. Lorsqu’un traitement utilise une catégorie particulière de données, la vérification doit être renforcée. Le consentement ne peut pas être déduit du silence ou de la simple poursuite de l’utilisation d’une plateforme. Il doit être libre, spécifique, éclairé et retirable.

La transparence doit être rédigée avant le déploiement. La personne doit savoir que ses données alimentent une décision automatisée, comprendre l’importance du traitement et connaître les conséquences prévisibles. Une formule abstraite telle que « vos données peuvent être analysées pour améliorer nos services » ne décrit pas la fermeture d’un compte ou le refus d’un financement. L’information doit permettre d’identifier le type de données utilisé, la logique générale du système, les facteurs pouvant déclencher une mesure et le chemin à suivre pour demander un réexamen.

Le secret des affaires ne permet pas de supprimer toute explication. L’entreprise n’a pas nécessairement à livrer le code source ou chaque paramètre du modèle, mais elle doit donner une information utile et intelligible. Elle doit pouvoir expliquer la nature du signal, les données prises en compte, les contrôles effectués, la marge d’appréciation de l’opérateur et les raisons individuelles de la mesure. Une information tellement générale qu’elle ne permet pas de contester la décision ne répond pas à l’objectif du RGPD.

Lorsqu’un traitement est susceptible d’engendrer un risque élevé, une analyse d’impact relative à la protection des données doit être réalisée avant le lancement et actualisée lorsque le système ou la finalité évolue. L’analyse doit décrire les opérations, évaluer la nécessité et la proportionnalité, identifier les risques d’erreur, de discrimination, de sécurité et de contestation, puis prévoir des mesures concrètes. L’entreprise doit notamment tester les faux positifs, vérifier les effets sur plusieurs profils de personnes et définir un seuil de suspension du dispositif lorsque le taux d’erreur devient préoccupant.

La sécurité et la traçabilité sont indissociables de la décision. Les journaux doivent permettre de reconstituer la règle appliquée, la version du modèle, les données disponibles, l’utilisateur ayant validé la mesure et l’heure de chaque action. Les accès doivent être limités, les exports protégés et les modifications de règles enregistrées. Une entreprise incapable de produire ces éléments peut avoir du mal à répondre à une demande d’accès, à défendre sa décision devant un juge ou à démontrer qu’un opérateur a réellement exercé son pouvoir de contrôle.

La sous-traitance doit faire l’objet d’un examen séparé. Le contrat avec l’éditeur ou l’intégrateur doit préciser les instructions, les données utilisées pour entraîner ou améliorer le modèle, la localisation des traitements, les mesures de sécurité, les délais de conservation, l’assistance aux demandes de droits et les conditions d’audit. Le fournisseur ne doit pas pouvoir modifier un seuil ou une finalité sans information et validation. Si plusieurs sociétés déterminent ensemble les finalités et les moyens, leurs responsabilités doivent être clarifiées au lieu d’être laissées à une simple facture de prestation.

Les entreprises qui utilisent un algorithme sur leurs salariés doivent ajouter les règles du code du travail. L’article L. 1222-3 du code du travail prévoit que « Le salarié est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’évaluation professionnelles mises en oeuvre à son égard ». Les résultats sont confidentiels et les méthodes doivent rester pertinentes au regard du but poursuivi. L’article L. 1222-4 du code du travail ajoute qu’« Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ».

Ces obligations ne visent pas seulement un licenciement. Elles peuvent concerner un classement de performance, un dispositif de surveillance, une répartition automatique des courses, un planning, une mesure de productivité ou une alerte disciplinaire. Une entreprise doit vérifier les règles d’information et de consultation applicables aux représentants du personnel, la pertinence des critères et la possibilité pour le salarié de discuter un résultat inexact. Les outils achetés sur étagère restent sous la responsabilité de l’employeur lorsqu’ils servent à prendre une décision professionnelle.

Enfin, toute entreprise devrait préparer un protocole de suspension. Lorsqu’une personne conteste un blocage, un refus ou une notation, la mesure ne doit pas continuer mécaniquement pendant des semaines sans examen. Le protocole peut prévoir une vérification prioritaire, un accès aux pièces utiles, une conservation de la version du modèle, une réponse motivée et un rétablissement provisoire lorsqu’un risque grave d’erreur apparaît. Cette organisation protège la personne, mais elle protège également la société en évitant que chaque réclamation devienne un contentieux mal documenté.

II. Décision automatisée contestée : quels recours pour la personne et quelles responsabilités pour l’entreprise ?

A. Comment demander une intervention humaine, les données utilisées et la réparation du préjudice ?

La personne qui a subi une désactivation, un refus ou une baisse de classement doit agir sur plusieurs plans. Une demande générale de « réactivation » peut être utile, mais elle ne permet pas toujours de déterminer ce qui s’est passé. Il faut identifier la décision, sa date, la conséquence concrète et le compte ou le contrat concerné. Le demandeur peut ensuite solliciter la confirmation du traitement, l’accès aux données, les informations sur la logique utilisée, la rectification d’une donnée inexacte, la limitation du traitement et une intervention humaine.

La demande doit rester précise. Elle peut demander :

• la date et la nature de la décision individuelle ;
• les données et événements ayant déclenché l’alerte ou le score ;
• la base juridique et la finalité du traitement ;
• l’existence d’une décision fondée exclusivement sur un traitement automatisé ;
• la logique générale, les conséquences prévues et les garanties appliquées ;
• l’intervention d’un responsable humain habilité à modifier la décision ;
• la conservation des journaux, des échanges et de la version du modèle pendant la contestation.

Une personne ne doit pas inventer une erreur technique pour obtenir une réponse. Elle doit réunir les éléments qui établissent le dommage et la chronologie : captures d’écran, courriels, messages de l’application, factures, relevés de revenus, contrats, échanges avec le service client, attestations, justificatifs de frais et preuves de la perte d’activité. Dans un environnement de plateforme, les historiques de courses, les notes, les motifs de suspension et les signalements de fraude peuvent être décisifs. Il faut les réclamer rapidement, car une politique de conservation courte peut faire disparaître la preuve avant qu’une action soit engagée.

La Cour de cassation rappelle que les données issues d’un dispositif technique peuvent être traitées comme des données personnelles et devenir un élément du litige. Dans son arrêt du 14 janvier 2014, n° 12-16.218, la chambre sociale a retenu que « La collecte et l’enregistrement des données opérés par les chronotachygraphes doivent être considérés comme des traitements de données à caractère personnel ». Cette solution concernait des chauffeurs routiers et un système de contrôle, mais le raisonnement est transposable à la collecte organisée de données d’activité d’un chauffeur ou d’un prestataire, sous réserve du contexte exact et du droit applicable.

La preuve peut également être discutée lorsque l’entreprise produit des éléments recueillis par un système de surveillance. Dans son arrêt du 21 mai 2025, n° 22-19.925, la chambre sociale de la Cour de cassation a indiqué que « L’utilisation de constats et d’attestations réalisés à partir de la captation et du visionnage des images issues du système de vidéoprotection d’un aéroport constitue un traitement de données à caractère personnel ». La décision montre l’intérêt de documenter la finalité initiale, l’information des personnes, le droit d’accès et la compatibilité entre la collecte et l’usage ultérieur. Une donnée régulièrement collectée n’est pas automatiquement utilisable pour toutes les décisions de l’entreprise.

La plainte auprès de la CNIL constitue une voie possible lorsque le responsable du traitement ne répond pas, répond de manière incomplète ou maintient une décision contraire au RGPD. La plainte doit être accompagnée des demandes adressées à l’entreprise, des réponses reçues, des pièces de preuve et d’une description du préjudice. Elle ne remplace pas une action en urgence lorsque l’activité ou les revenus sont interrompus. Elle permet cependant de signaler un fonctionnement systémique, notamment lorsque plusieurs personnes rencontrent la même désactivation sans explication.

Le droit à réparation doit être distingué de la sanction administrative. L’article 82 du RGPD prévoit que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Une amende versée à une autorité ne revient pas automatiquement à la personne affectée. Celle-ci doit établir le traitement concerné, la violation, le dommage et le lien entre les deux, selon la juridiction saisie et les règles de procédure applicables.

La Cour de cassation a précisé cette exigence dans son arrêt du 24 juin 2026, n° 24-22.792, publié au bulletin. Elle juge que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation ». Une personne qui conteste une décision automatisée doit donc chiffrer ou décrire concrètement la perte de revenus, la privation d’un service, les frais engagés, l’atteinte à la réputation, l’anxiété ou tout autre dommage moral établi. L’existence d’un manquement peut soutenir la demande, mais elle ne dispense pas de démontrer un préjudice.

Lorsque le litige oppose un cocontractant à l’entreprise, le contrat peut ajouter un fondement. L’article 1104 du code civil dispose que « Les contrats doivent être négociés, formés et exécutés de bonne foi ». Une plateforme qui suspend un compte selon une règle obscure, applique un seuil non prévu ou refuse d’examiner un signal erroné peut être exposée à une discussion sur l’exécution loyale du contrat, sans que cette seule hypothèse permette de conclure à une faute. L’analyse doit porter sur les clauses acceptées, la proportion de la mesure, les informations fournies et les circonstances de la décision.

Une demande contractuelle peut aussi viser l’inexécution ou le retard. L’article 1231-1 du code civil prévoit que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution ». L’article 1240 du code civil peut être invoqué lorsque le dommage relève d’une faute extracontractuelle. Ces fondements ne se cumulent pas mécaniquement et la stratégie dépend du statut de la personne, du contrat, du traitement et de la nature du dommage.

La contestation doit enfin viser le bon interlocuteur. Le responsable du traitement est souvent la société qui décide des finalités et du fonctionnement de la plateforme. Le sous-traitant peut être impliqué s’il a utilisé les données en dehors des instructions ou s’il a manqué à ses obligations propres. Une société du groupe, une filiale française, un prestataire de notation et un éditeur de logiciel peuvent jouer des rôles différents. Les mentions légales, la politique de confidentialité, le contrat, les factures et les courriels permettent de reconstituer cette chaîne. Une demande adressée au seul service commercial peut ne pas atteindre le service chargé des droits RGPD.

B. Comment organiser la gouvernance, la preuve et le contentieux à Paris et en Île-de-France ?

Une société qui utilise des décisions automatisées doit traiter le sujet comme une question de gouvernance, et non comme un simple paramétrage informatique. Le conseil d’administration ou la direction générale doit connaître les décisions qui peuvent interrompre une relation commerciale, une prestation ou un revenu. Le délégué à la protection des données doit avoir accès aux équipes techniques et métier. La direction juridique doit valider les notices, les contrats avec les fournisseurs et les procédures de contestation. La sécurité doit garantir que les journaux ne peuvent pas être réécrits après une réclamation.

Un registre opérationnel peut être construit autour de cinq colonnes : décision, données, intervention humaine, conséquence et recours. Pour chaque décision, l’entreprise doit conserver le responsable, la base juridique, la durée de conservation, le niveau de risque, l’analyse d’impact éventuelle et le modèle ou la règle utilisée. Cette documentation permet de distinguer les systèmes d’aide à la décision des décisions totalement automatisées. Elle permet aussi de détecter les systèmes oubliés dans un projet d’achat ou hérités d’une ancienne filiale.

Le contrôle doit être périodique. Une donnée qui était pertinente peut devenir obsolète. Un changement de fournisseur peut modifier la localisation des traitements. Une mise à jour du modèle peut déplacer le taux de faux positifs. Un seuil satisfaisant pour un service peut créer un effet disproportionné pour un autre groupe de personnes. L’entreprise devrait donc comparer les résultats par période, catégorie de personnes et motif de décision, réaliser des tests d’erreur et vérifier les réclamations non résolues. Lorsqu’un signal se révèle peu fiable, le maintien automatique de la mesure expose davantage que sa suspension temporaire.

Les contrats commerciaux doivent également prévoir les conséquences d’une décision automatisée. Une société qui fournit une solution de scoring à un client professionnel doit préciser les limites de son rôle, les contrôles réalisés, la qualité des données et les obligations d’assistance. Le client doit pouvoir obtenir les informations nécessaires pour répondre aux demandes des personnes. Les clauses de limitation de responsabilité ne font pas disparaître les obligations impératives du RGPD et ne dispensent pas le fournisseur de coopérer en cas de contrôle.

La question de la confidentialité ne doit pas bloquer la défense. Une entreprise peut protéger son secret des affaires tout en communiquant une explication compréhensible. Elle peut mettre en place un accès sécurisé aux pièces, masquer les données d’autres personnes, transmettre une synthèse des facteurs déterminants et faire intervenir un professionnel soumis à la confidentialité. Une absence totale de réponse, justifiée par la seule complexité du modèle, est particulièrement fragile lorsqu’une personne ne peut plus travailler ou accéder à un service.

À Paris et en Île-de-France, cette organisation concerne notamment les plateformes numériques, les fintech, les sociétés de transport, les entreprises de recrutement, les assureurs, les centres de relation client et les prestataires qui gèrent des comptes professionnels. La géographie ne modifie pas le contenu du RGPD, mais elle peut rendre les délais et la conservation des preuves déterminants dans des environnements très concurrentiels. Une entreprise implantée dans la région doit identifier la juridiction compétente à partir de la demande concrète : contrat de travail, relation commerciale, droit d’accès, responsabilité civile ou recours contre une décision d’une autorité. Le siège parisien d’une société ne suffit pas à trancher toutes les questions de compétence.

Pour un salarié, les règles du code du travail s’ajoutent à celles du RGPD. Pour un prestataire indépendant, la qualification du contrat, les clauses de suspension et la réalité de la perte d’activité seront examinées. Pour un client ou un fournisseur, le litige peut porter sur l’exécution d’une commande, l’accès à un portail, une notation ou une rupture de relation. Le même outil technique peut donc produire des contentieux différents selon la personne touchée. La société doit éviter une réponse unique et automatisée à des situations juridiques distinctes.

Une entreprise doit aussi vérifier les règles de consultation et d’information des représentants du personnel lorsque le dispositif contrôle l’activité des salariés. Le code du travail ne permet pas de collecter secrètement des informations individuelles en invoquant le seul objectif de sécurité ou de productivité. La Cour de cassation a déjà examiné des dispositifs techniques servant à suivre l’activité professionnelle. Dans chaque dossier, la finalité annoncée, l’information préalable, la proportionnalité et l’utilisation effective des données restent essentielles.

La société doit enfin préparer une réponse à une mise en demeure ou à une sanction. L’article 20 de la loi du 6 janvier 1978, dans sa version en vigueur, organise les mesures correctrices et les amendes administratives prononcées par la CNIL. Le RGPD prévoit lui-même que les amendes doivent être effectives, proportionnées et dissuasives. Le montant dépend de la qualification, de la gravité, de la durée, du nombre de personnes concernées, des mesures prises et de la coopération. Une entreprise ne doit pas calculer son risque en se fondant uniquement sur un plafond théorique.

La décision Uber montre que la dimension économique du traitement pèse dans l’analyse. Une désactivation qui empêche une personne de travailler est plus qu’un changement d’interface. Elle touche la relation contractuelle, les revenus, la réputation et parfois la continuité d’une activité. Un refus de crédit, un blocage d’un paiement ou une exclusion d’une place de marché peut produire une intensité comparable. Le responsable doit prévoir une voie de secours lorsqu’une erreur automatique peut priver une personne d’un moyen essentiel de subsistance ou d’un service déjà souscrit.

Le plan d’action peut être séquencé sans attendre un contrôle externe. Dans les premières heures d’une contestation, l’entreprise peut geler la suppression des journaux, identifier la version de la règle, empêcher l’aggravation automatique de la mesure et désigner un examinateur habilité. Dans les jours suivants, elle peut réunir les pièces, interroger le fournisseur, vérifier les données et répondre au demandeur. À plus long terme, elle peut revoir la base juridique, la notice, l’analyse d’impact, les contrats et la formation des opérateurs. Chaque décision doit laisser une trace de la question posée, des documents examinés et de la conclusion prise.

Une personne ou une entreprise qui reçoit une décision défavorable n’a pas intérêt à supprimer son compte, réinitialiser son téléphone ou effacer ses échanges avant d’avoir conservé les éléments utiles. Une société mise en cause doit, de son côté, éviter de corriger silencieusement les journaux ou de remplacer le modèle sans archiver la version utilisée. La conservation loyale de la preuve est souvent la condition qui permet de trouver une solution amiable, de répondre à la CNIL ou de défendre la décision devant une juridiction.

Conclusion

La sanction de 824,99 millions d’euros infligée à Uber ne signifie pas que toute automatisation est interdite. Elle rappelle une limite plus précise : une entreprise ne peut pas laisser une machine prendre seule une décision individuelle produisant un effet juridique ou une atteinte significative, puis présenter une assistance client standard comme un recours. Lorsque la décision est autorisée par une exception, les garanties doivent rester réelles, documentées et accessibles.

La méthode la plus sûre consiste à cartographier les décisions, qualifier les données, vérifier la base juridique, mesurer l’effet concret, organiser une intervention humaine dotée d’un véritable pouvoir, informer les personnes et préserver les journaux. Pour les salariés, les contrats et les règles de représentation du personnel doivent être intégrés à la revue. Pour les clients, fournisseurs, chauffeurs et prestataires, la demande d’accès, la contestation et la réparation du dommage doivent pouvoir être exercées sans parcours impossible.

Une entreprise qui découvre un dispositif mal documenté doit agir avant la prochaine désactivation ou le prochain refus. Elle peut suspendre la règle la plus risquée, examiner les décisions déjà prises, corriger les données inexactes et ouvrir un canal humain identifiable. Cette démarche ne garantit pas l’absence de contentieux, mais elle réduit le risque d’une décision incompréhensible et permet de répondre concrètement aux personnes concernées, aux autorités et au juge.

Besoin d’un avis rapide sur votre dossier.

Vous pouvez bénéficier d’une consultation téléphonique en 48 heures avec un avocat du cabinet.

Cette consultation permet d’examiner la décision automatisée, les pièces disponibles, le contrat et les premières démarches utiles.

Appelez le cabinet au 06 46 60 58 22 ou utilisez le formulaire de contact du cabinet.