Sanction Uber : le management algorithmique à l’épreuve du droit.

Jusqu’où une entreprise peut-elle déléguer à une machine le pouvoir de recruter, évaluer, rémunérer, sanctionner ou exclure un travailleur ? La récente sanction adoptée par l’autorité de protection des données néerlandaise à l’encontre de la société de VTC Uber nous apporte un début de réponse.

L’autorité a infligé le 21 août une amende de 824 990 000 € à la société, en coopération avec la CNIL qui avait déclenché la procédure d’enquête. 
Uber utilisait un logiciel pour surveiller la conduite des chauffeurs et analyser les avis des clients, et avait entre 2018 et 2022 désactivé automatiquement certains comptes de chauffeurs en cas de soupçon de fraude ou en l’absence d’un nombre suffisant d’avis.

L’autorité a condamné la société pour prise de décision automatisée sans supervision humaine.

Cette décision illustre le fonctionnement de la coopération européenne entre deux autorités de protection des données, et nous donne l’occasion de faire le point sur le développement du management algorithmique dans un contexte professionnel et sur son cadre légal.

Dans le cas d’espèce, la CNIL et l’autorité néerlandaise coopéraient depuis 2020, date de la plainte collective reçue par la CNIL de l’association La Ligue des droits de l’Homme, représentant plus de 170 chauffeurs de la plateforme UBER. 

La société dispose d’un siège social à San Francisco (Uber technologies inc.) et d’un siège européen à Amsterdam (Uber B.V.), raison pour laquelle l’autorité néerlandaise a conduit les investigations et pris position, après analyse avec la France des preuves obtenues et examen conjoint du projet de décision finale. 

Cette décision est la troisième prise par les Pays-Bas, dans un dossier qui a déjà vu la société condamnée pour défaut d’information des chauffeurs et transfert illégal de données vers les Etats-Unis. 

Elle rappelle surtout les règles qui doivent encadrer le management algorithmique, et souligne qu’une vérification humaine est indispensable avant toute décision prise sur la base d’un algorithme.

Elle nous donne aussi l’occasion de rappeler que, outre cette nécessaire intervention humaine et l’obligation d’informer les employés, le management algorithmique s’inscrira le plus souvent dans un contexte impliquant à la fois la prise en compte du principe de « privacy by design », et la réalisation préalable d’une analyse d’impact en matière de protection des données (AIPD) par l’employeur. 

Avant de mettre en place de nouvelles technologies de surveillance ou de gestion sur le lieu de travail, que celles-ci concernent le recrutement, la gestion des ressources humaines, la mesure de l’efficacité des employés ou encore la répartition des tâches, les employeurs doivent mettre en place dès le départ des mesures de protection techniques et organisationnelles. 

Ces mesures doivent être adaptées aux risques encourus et peuvent notamment consister à traiter moins de données, à recourir à la pseudonymisation et à limiter les accès.

En résumé, la protection de la vie privée ne peut être une considération secondaire. Elle doit être intégrée dès le départ dans la conception des technologies utilisées sur le lieu de travail.

D’autre part, le management algorithmique sera dans la plupart des cas considéré comme étant un traitement « à haut risque » nécessitant une analyse d’impact car répondant à un certain nombre de critères énumérés dans le RGPD : de tels outils impliquent généralement de nouvelles solutions technologiques, la prise de décision automatisée, la surveillance, la combinaison d’ensembles de données, et les salariés se trouvent dans une situation de dépendance vis-à-vis de leur employeur.

L’objectif de cette AIPD sera d’identifier, d’évaluer et d’atténuer les risques liés à l’introduction de cette nouvelle technologie, en prenant en considération l’impact sur les employés et le point de vue de ces derniers.

Ces principes essentiels du RGPD se verront bientôt complétés par d’autres mesures de protection.

Si le règlement sur l’IA est déjà entré en vigueur, certaines dispositions relatives aux systèmes d’IA à haut risque s’appliqueront à partir de décembre 2027. 
L’article 9 et l’annexe III du règlement obligeront les employeurs à mettre en place un système de gestion des risques lorsqu’ils utilisent l’IA pour certaines tâches liées à l’emploi et à la gestion du personnel, par exemple la publication d’offres d’emploi ciblées, l’analyse et le filtrage des candidatures ou l’évaluation des candidats.

Dans certains cas spécifiques où les risques sont particulièrement élevés, une évaluation de l’impact sur les droits fondamentaux devra également être réalisée, en parallèle de l’AIPD.

Par ailleurs, de nouvelles règles européennes relatives au travail sur les plateformes entreront en vigueur le 2 décembre prochain.

Celles-ci visent à réglementer l’utilisation d’algorithmes pour la gestion des ressources humaines sur les plateformes de travail numériques.

Les employeurs devront ainsi informer les travailleurs de l’utilisation de l’IA, et ces systèmes devront être supervisés par du personnel qualifié, bénéficiant d’une protection spéciale contre tout traitement défavorable.

Une supervision humaine devra également être garantie pour les décisions importantes, telles que la suspension de comptes.

Dans ce contexte en évolution constante, la sanction néerlandaise constitue une bien utile piqûre de rappel, d’autant qu’elle semble n’être qu’un début.

En ce mois de septembre, des chauffeurs de plusieurs pays européens ont engagé une action collective à Amsterdam contre Uber, contestant cette fois l’utilisation de l’algorithme pour la rémunération et l’attribution des courses.

En france

Quelques semaines seulement après l’adoption par le Parlement de l’interdiction des réseaux sociaux pour les moins de 15 ans, la loi a été bloquée par le Conseil constitutionnel.

Celui-ci a estimé le 14 août dernier que cette interdiction « porterait atteinte à la liberté d’expression et de communication des mineurs et serait, de surcroît, entachée d’un excès de compétence ».

Le Conseil constitutionnel relève en outre que cette interdiction aurait pour conséquence de contraindre tous les utilisateurs, y compris les majeurs, à prouver leur âge avant d’accéder à certains services en ligne.

Or, la loi ne définissait ni les modalités ni les limites de cette vérification : le législateur n’a donc pas prévu de garanties suffisantes pour protéger le droit au respect de la vie privée, garanti par l’article 2 de la Déclaration de 1789.

Le Conseil ne remet pas en cause l’objectif de protection des mineurs, mais exige que les dispositifs de vérification d’âge concilient cet objectif avec la protection des données et de la vie privée de l’ensemble des utilisateurs.

Le gouvernement n’a pas renoncé au projet, le Premier ministre ayant été chargé « d’élaborer, dans les meilleurs délais, un projet de loi juridiquement solide ». La loi devait initialement entrer en vigueur le 1er janvier 2027. Le gouvernement vise désormais le printemps 2027.

La DGFiP a confirmé le 14 août que des acteurs malveillants avaient obtenu un accès illégitime à son système d’information et avaient pu consulter et extraire les données de 678 000 particuliers et de professionnels.

Celles-ci concernent des informations fiscales (revenu de référence, quotient familial, taux de prélèvement à la source, SIREN et raison sociale d’entreprises) et des données cadastrales (adresses et surfaces de biens immobiliers).

L’intrusion, initialement détectée et bloquée fin juin, a été révélée après une revendication publique des attaquants mi-août.

Les personnes touchées ont été informées individuellement et la violation de données a été notifiée à la CNIL.

L’intrusion aurait été rendue possible par la compromission des identifiants d’un agent, combinée à un accès externe insuffisamment protégé.

L’absence de double authentification généralisée sur les accès des agents constitue une faiblesse identifiée a posteriori : Bercy a annoncé son déploiement accéléré à la suite de l’attaque.

Notons que la France a été traduite devant la Cour de justice de l’Union européenne (CJUE) pour défaut de transposition de la directive européenne NIS2 (sécurité des réseaux et de l’information). La transposition aurait dû avoir lieu au plus tard en octobre 2024.

La CNIL a publié le 10 août un rappel des mesures à prendre afin de garantir l’indépendance du délégué à la protection des données (DPO).

La publication entend aider les entreprises à identifier et gérer les risques de conflits d’intérêts liés à cette fonction. Elle liste les fonctions à risque et propose des pistes afin de remédier aux conflits d’intérêt.

En Europe

Institutions et organismes européens

La Commission européenne a désigné le 31 août ChatGPT, Reddit et Roblox comme étant respectivement un très grand moteur de recherche en ligne et deux très grandes plateformes en ligne.

ChatGPT est comme chacun sait un système d’intelligence artificielle (IA) capable d’interagir avec les utilisateurs et de répondre à leurs demandes et requêtes, notamment en effectuant des recherches sur le web, ce qui en fait selon la Commission un service hybride tombant dans le champ d’application du règlement sur les services numériques (DSA).

Reddit est une plateforme permettant aux utilisateurs de créer, de partager et de consulter des contenus et d’interagir avec ceux-ci au sein de communautés organisées par thèmes.

Roblox est une plateforme immersive de jeux et de création qui permet aux utilisateurs de créer, publier et jouer à des jeux développés par d’autres utilisateurs.

Ces désignations confèrent à la Commission des pouvoirs d’enquête spécifiques et obligent ces services, d’ici fin décembre 2026, à se conformer aux obligations supplémentaires prévues par le DSA notamment en ce qui concerne l’évaluation et l’atténuation des risques systémiques découlant de leurs systèmes algorithmiques.

Dans un avis du 11 août dernier, le contrôleur européen de la protection des données (EDPS) s’inquiète d’une réforme qui permettrait à Europol de traiter et conserver plus largement les données de personnes sans lien établi avec une enquête criminelle.

Il craint notamment que l’élargissement des capacités d’analyse d’Europol conduise à établir des liens ou profils entre des individus et des activités criminelles sans fondement suffisamment établi.

L’EDPS pointe le fait que, plus Europol dispose de capacités d’analyse automatisée, plus le risque est grand de passer d’une collecte fondée sur un soupçon à une logique de collecte préventive de masse.

Il demande des garanties plus strictes en matière de nécessité, de proportionnalité, de durée de conservation et de contrôle, afin que l’efficacité de la lutte contre la criminalité ne se fasse pas au détriment du droit à la vie privée et à la protection des données.

Actualité des pays membres de l’Union Européenne.

La publicité s’invite désormais dans les voitures. Le constructeur allemand BMW a lancé cet été une campagne publicitaire sur l’écran principal de ses derniers modèles automobiles.

Lorsque les conducteurs démarraient leur voiture, une animation promotionnelle pour le prochain film Spider-Man s’affichait à l’écran. La publicité occupait la majeure partie de l’écran pendant près de 20 secondes et désactivait temporairement certaines fonctions telles que la navigation, le multimédia et la climatisation. 
Cet essai concerne plusieurs modèles récents et a été déployé dans plus de 70 pays.

Un tribunal autrichien a estimé que l’autorité nationale de protection des données (APD) pouvait refuser de donner suite à une plainte concernant une demande d’accès déposée par une association au nom d’un individu.

Le tribunal pointe le modèle économique de l’association, et le fait qu’elle tire un profit financier de décisions judiciaires favorables alors que la personne concernée ne manifeste pas d’intérêt explicite à déposer la demande en question : « une procuration générale visant à rechercher automatiquement des violations de la protection des données et à obtenir des avantages financiers justifie le refus de traiter une plainte en vertu de l’article 57(4) du RGPD et de la jurisprudence pertinente de la CJUE, de la Cour suprême administrative (VwGH) et de la Cour administrative fédérale (BVwG). »  

Le 26 août, le gouvernement des Etats-Unis a inscrit Autistici/Inventati (A/I), un collectif italien d’hébergement associatif, sur la liste des organisations et membres d’organisations considérés comme terroristes.

L’administration Trump accuse le collectif d’avoir fourni un « soutien matériel » à des groupes antifascistes et de gauche via ses services d’hébergement.

Les organisations américaines en lien avec A/I devant cesser toute relation avant le 25 septembre, le nom de domaine autistici.org a été suspendu par le gestionnaire américain des .org, coupant l’accès aux mails et services du collectif pour ses utilisateurs. 

La Norvège entend réglementer strictement les lunettes connectées.

Le 25 août, la ministre chargée de la numérisation a déclaré qu’elle souhaitait que ces lunettes soient soumises à une réglementation plus stricte, interdisant notamment la reconnaissance faciale dans les lieux publics.

La ministre entend nommer un groupe d’experts chargé de formuler des recommandations sur la réglementation des caméras et des microphones intégrés aux lunettes, aux écouteurs et appareils du quotidien similaires.

À l’international

Au Royaume-Uni, une petite unité britannique de production d’électricité a été mise hors service pendant quatre jours en juillet à la suite d’une cyberattaque attribuée à des hackers liés à l’Iran.

L’incident, considéré comme le premier succès connu d’un groupe iranien contre une infrastructure énergétique britannique, n’a provoqué ni coupure ni menace pour le réseau national, le site ne constituant pas une infrastructure critique.

Le gouvernement britannique a néanmoins renforcé les mesures de cybersécurité du secteur énergétique, l’attaque étant perçue comme un avertissement sur la vulnérabilité croissante des infrastructures nationales.

Outre-Manche également, la British Transport Police (BTP) a étendu en août 2026 son expérimentation de reconnaissance faciale en temps réel (LFR) à certaines stations du métro londonien, après un premier déploiement en février.

La technologie compare les visages des voyageurs à une liste de personnes recherchées, notamment pour des infractions graves, afin de permettre une intervention rapide de la police.

Les autorités affirment que le dispositif est ciblé, fondé sur le renseignement et que les images des personnes ne correspondant pas à la liste sont supprimées.

Le test doit se poursuivre jusqu’en novembre 2026. Le fait que des milliers de voyageurs soient ainsi être scannés sans être soupçonnés d’une infraction relance le débat sur la proportionnalité et l’encadrement juridique de la surveillance biométrique au Royaume-Uni.

Au Brésil, l’APD a infligé le 25 août à ByteDance une amende de 153,7 millions de réaux (25,4 millions d’euros) pour le traitement des données d’enfants et d’adolescents sur TikTok, assortie d’une injonction de suppression des données collectées de manière irrégulière.

La décision porte sur deux modes d’accès, à savoir le fil d’actualité accessible à tous sans connexion et celui accessible via un compte enregistré, dont le traitement viole plusieurs principes de la loi sur la protection des données.

Dans les deux cas, l’autorité a constaté une absence de base juridique valable et de mesures de protection efficaces.

La Corée du Sud lance « AI for All », un programme visant à offrir gratuitement à tous ses citoyens un accès illimité à des services d’IA générative.

L’objectif est de démocratiser l’usage de l’IA tout en renforçant la souveraineté technologique du pays face aux modèles des Etats-Unis et de la Chine.

Les IA seront intégrées aux services publics pour faciliter les démarches médicales, fiscales, immobilières ou éducatives, et aider également les petites entreprises.

Le gouvernement prévoit un budget IA de 7,2 milliards de dollars en 2026, avec un déploiement national prévu d’ici la fin de l’année.

A Hong Kong, le Centre national de cybersécurité a publié des orientations en matière d’IA agentique.

Le document définit cinq catégories de risques (accès étendu, vulnérabilités du système, plugins ou compétences vulnérables, dérive fonctionnelle et risques liés aux agents multiples), formule neuf recommandations alignées sur les principes de protection des données et propose une annexe comportant une liste de contrôles de sécurité couvrant l’évaluation, la préparation, le déploiement, l’utilisation et la désinstallation des agents d’IA.

Il rappelle encore que ces derniers ne sont pas des personnes morales, et que l’organisation reste responsable des données.

Aux Etats-Unis, les caméras de surveillance de la société Flock Safety se multiplient, non sans susciter de vives réactions. Ces caméras lisent automatiquement les plaques d’immatriculation dans l’objectif allégué de lutter contre la criminalité.

Cependant, plusieurs villes et habitants s’inquiètent des risques pour la vie privée, notamment de la possibilité que les données soient consultées par d’autres services de police ou utilisées dans le cadre de contrôles migratoires.

Des chercheurs en cybersécurité ont également révélé des failles permettant potentiellement d’accéder à certaines images, renforçant les craintes concernant la sécurité des données. Face à ces controverses, certaines municipalités ont résilié leurs contrats ou désactivé les caméras.

Aux Etats-Unis également, Meta a conclu un accord avec la justice sur la sécurité des adolescents.

Cet accord conclu avec 51 procureurs généraux met fin à une plainte l’accusant d’avoir conçu Instagram et Facebook pour favoriser une utilisation compulsive chez les jeunes et d’avoir minimisé les risques associés.

L’accord prévoit jusqu’à 17,1 milliards de dollars versés aux États sur dix ans, ainsi que de nouvelles règles pour les moins de 18 ans.

Parmi les mesures figurent une limite quotidienne d’utilisation, un blocage nocturne, la désactivation des notifications pendant certaines périodes, la suppression de l’affichage des « likes », l’interdiction des filtres de chirurgie esthétique et la possibilité d’utiliser un fil d’actualité non personnalisé.

Une vérification de l’âge devra également exclure les moins de 13 ans.

L’accord prévoit enfin un auditeur indépendant chargé de contrôler son application.

Les restrictions pourraient être renforcées si d’autres grandes plateformes adoptent des règles similaires, faisant de cet accord un possible modèle pour l’ensemble du secteur.

Sur le même sujet et toujours aux Etats-Unis, TikTok et sa maison mère ByteDance ont accepté de verser 400 millions de dollars pour mettre fin à des poursuites concernant la collecte et la protection des données personnelles d’enfants.

Le ministère américain de la Justice leur reprochait notamment de ne pas avoir suffisamment empêché les moins de 13 ans d’utiliser la plateforme et d’avoir collecté leurs données sans consentement parental.