824 990 000 euros : ce qui a été sanctionné n'est pas une donnée mal protégée

Le 24 août 2026, l'autorité néerlandaise de protection des données, en coopération avec son homologue française, a prononcé une amende de 824 990 000 euros contre deux sociétés d'une plateforme de VTC. Le chiffre a circulé. Le motif, beaucoup moins — et c'est lui qui mérite d'être lu.

Rien dans cette décision ne porte sur une fuite, un vol, un serveur mal configuré ou un mot de passe faible. Ce qui a été sanctionné, c'est une décision prise sans que personne ne l'examine.

Le motif, dans les termes de l'autorité

Les comptes de chauffeurs étaient désactivés dans deux cas : en cas de suspicion de fraude, la désactivation était temporaire ; en cas de notation basse laissée par les clients, elle pouvait être temporaire ou définitive.

L'autorité considère que ces désactivations

« constituent des décisions individuelles automatisées en raison de l'absence totale d'intervention humaine dans le processus de décision »

et elle en précise l'effet dans la phrase suivante : les chauffeurs concernés, compte bloqué, « ne peuvent plus effectuer de courses et générer de revenus ».

Deux choses méritent d'être relevées. La première est que le grief ne porte pas sur la qualité de l'algorithme. Il n'est écrit nulle part que le système se trompait, ni qu'il était biaisé, ni qu'il était mal entraîné. Le grief porte sur ce qui manquait autour de lui. La seconde est que l'effet retenu n'est pas juridique au sens strict : c'est une perte de revenus. Nous verrons dans un instant pourquoi ce point n'est pas un détail.

L'article 22, dans l'ordre de ses paragraphes

Le texte tient en quatre paragraphes, et on ne peut pas les lire séparément. Nous les avons relus sur la version officielle.

Le paragraphe 1 pose un droit, et il est large :

« La personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire. »

Le paragraphe 2 l'excepte aussitôt, dans trois cas : lorsque la décision est nécessaire à la conclusion ou à l'exécution d'un contrat, lorsqu'elle est autorisée par le droit de l'Union ou d'un État membre, ou lorsqu'elle est fondée sur le consentement explicite de la personne.

C'est ici que beaucoup de lectures s'arrêtent, et c'est ici qu'elles se trompent. Car le paragraphe 3 rouvre immédiatement ce que le paragraphe 2 semblait fermer. Dans les cas du contrat et du consentement, le responsable du traitement

« met en œuvre des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée, au moins du droit de la personne concernée d'obtenir une intervention humaine de la part du responsable du traitement, d'exprimer son point de vue et de contester la décision. »

Trois mots portent tout le reste : au moins. Ce ne sont pas des mesures parmi lesquelles choisir. C'est un plancher. Et ce plancher comporte trois choses distinctes, que l'on confond souvent : obtenir une intervention humaine, exprimer son point de vue, contester la décision. Un dispositif qui permet de se plaindre sans jamais faire réexaminer le dossier par une personne n'en couvre qu'une sur trois.

Le paragraphe 4, enfin, interdit de fonder ces décisions sur les catégories particulières de données de l'article 9, sauf conditions strictes.

Ce que l'exception ne dispense pas de faire

Une plateforme qui désactive un compte peut légitimement soutenir que cette décision est nécessaire à l'exécution du contrat qui la lie au chauffeur. L'exception du paragraphe 2 point a) est plausible.

Elle ne change rien à l'obligation. Invoquer l'exception fait entrer directement dans le paragraphe 3 : il faut alors pouvoir montrer qu'un humain peut intervenir, que la personne peut s'expliquer, et que la décision peut être contestée. L'exception ne supprime pas le contrôle humain — elle le déplace, du principe vers la garantie.

C'est pour cette raison que l'argument « nous sommes couverts, c'est contractuel » ne protège de rien à lui seul. Il fait changer de paragraphe, pas de sujet.

L'effet significatif ne suppose pas une décision de justice

L'autre confusion fréquente porte sur le seuil de déclenchement. On imagine volontiers que l'article 22 vise les grandes décisions officielles.

L'autorité française, dans sa fiche de référence sur le sujet, écrit qu'une décision peut avoir un impact significatif lorsqu'elle a pour conséquence « d'influencer l'environnement de la personne, son comportement, ses choix ou d'aboutir à une forme de discrimination », et elle donne pour exemples une conséquence sur la situation financière ou l'application de tarifs plus élevés. Elle cite d'ailleurs, comme cas d'école de décision entièrement automatisée, le refus de crédit fondé sur le seul résultat d'un algorithme.

Perdre l'accès à son outil de travail entre sans difficulté dans cette catégorie. Beaucoup de décisions ordinaires y entrent aussi, qu'on n'y range jamais spontanément : une suspension de compte, un déclassement, une exclusion d'un programme, un tarif modifié par un score.

Trois amendes, trois griefs différents

Une précision s'impose, parce que la séquence circule souvent sans elle. La même autorité avait déjà sanctionné cette entreprise deux fois : 10 millions d'euros le 11 décembre 2023, puis 290 millions le 22 juillet 2024.

Il serait commode d'y lire une escalade sur un même reproche. Ce n'en est pas une. La première amende visait l'information des chauffeurs, la deuxième des transferts de données hors de l'Union, la troisième les décisions automatisées. Trois manquements distincts, instruits séparément, à partir d'une même plainte collective déposée en 2020 par une association représentant plus de 170 chauffeurs, complétée en 2021.

Nous le précisons parce que la version dramatisée de cette histoire — une entreprise qui récidive et qu'on punit de plus en plus fort — est plus spectaculaire et moins vraie. Le fait se suffit.

Ce que ce billet ne dit pas

Il ne dit pas que l'automatisation d'une décision est en soi fautive. L'article 22 ne l'interdit pas ; il l'encadre, et prévoit lui-même les cas où elle est licite.

Il ne dit pas qu'il faut un humain derrière chaque calcul. Ce serait absurde, et le texte ne le demande nulle part.

Il ne dit pas non plus ce que vous devez faire. Nous n'avons ni vos processus, ni vos contrats, ni la qualification juridique de vos traitements, et cette qualification ne se fait pas depuis un billet de blog.

Il dit une chose, et elle tient sans le reste : le grief retenu ici n'est pas d'avoir mal calculé, c'est de n'avoir prévu personne pour regarder. L'article 22 organise ce regard depuis 2016. Ce qui est nouveau, ce n'est pas la règle, c'est qu'un chiffre lui soit maintenant attaché.

Nous avons traité ailleurs une question voisine mais distincte : ce que l'article 14 du règlement européen sur l'intelligence artificielle exige de l'humain placé dans une boucle de supervision, et pourquoi une présence ne suffit pas à faire un contrôle. Ce sont deux textes différents, deux points de vue différents — l'obligation de celui qui déploie d'un côté, le droit de la personne visée de l'autre. Ils se répondent, ils ne se remplacent pas.

La question que nous poserions à qui exploite aujourd'hui une décision automatisée n'est pas de savoir si son système est bon. Elle est plus simple, et elle est vérifiable en interne, sans avocat et sans audit : où est écrit qui peut réexaminer cette décision, et une personne l'a-t-elle déjà fait au moins une fois ?

Celle-là, vous pouvez y répondre seul, aujourd'hui, sans nous.

Pour celles qui viennent après — le prochain système, la prochaine fonctionnalité qui décidera quelque chose toute seule — nous avons publié un pré-diagnostic : une vingtaine de questions, et une projection des régimes que vos choix d'architecture déclenchent, comme de ceux qu'ils ne déclenchent pas. Il est gratuit, sans inscription, et vos réponses ne quittent pas votre navigateur — le calcul se fait sur votre machine. Il ne dit pas si vous êtes en règle : il dit dans quel périmètre vos choix vous placent, à l'endroit où les corriger ne coûte encore presque rien.