Uber et les données : relire la controverse de 2015

Cette archive de juillet 2015 part d’une enquête évoquée dans la presse à propos d’Uber et de la conservation de données. Une information de presse ne suffit pas à établir juridiquement les faits, les responsabilités ou les motifs d’une mesure d’enquête.

La question utile pour une entreprise demeure : comment justifier les durées de conservation et comprendre le risque juridique sans transformer une information de presse en constat de culpabilité ?

Une enquête ne vaut pas condamnation

Un soupçon, une mesure d’enquête, des poursuites et une condamnation sont des étapes distinctes. Comparer ce dossier à d’autres fichiers ou mesurer la fréquence des décisions pénales exige des décisions identifiées et un corpus pertinent. Une différence de visibilité médiatique ne démontre pas une différence de traitement juridique.

De même, la gravité d’un traitement ne se mesure pas seulement au nombre d’utilisateurs. Les trajets d’une personne peuvent révéler ses habitudes et ses déplacements. Le fait qu’une donnée ne relève pas automatiquement des catégories particulières de l’Art. 9 ne signifie pas que son traitement présente peu de risques.

La conservation doit être justifiée par la finalité

L’Art. 5(1)(e) du RGPD limite la durée pendant laquelle les données permettent d’identifier les personnes à ce qui est nécessaire aux finalités poursuivies, sous réserve des cas particuliers et garanties prévus par le texte. Il n’existe pas un délai unique pour toutes les données d’une plateforme.

Il faut distinguer, par exemple, les données nécessaires à l’exécution du service, les pièces conservées pour une obligation légale et celles nécessaires à la défense d’un dossier contentieux. Ces finalités n’autorisent pas nécessairement les mêmes accès ni les mêmes réutilisations. Notre tableau des durées de conservation aide à structurer l’analyse, sans remplacer la vérification du texte applicable à chaque catégorie.

L’Art. 226-20 du Code pénal réprime notamment certaines conservations au-delà de la durée prévue par les sources qu’il énumère et certains usages ultérieurs. Il prévoit des maxima de cinq ans d’emprisonnement et 300 000 euros d’amende. Pour appliquer ce texte, ses éléments doivent être caractérisés : toute erreur dans une politique interne n’équivaut pas automatiquement à une condamnation pénale.

Séparer les dossiers Uber selon leurs faits et leurs dates

Des décisions ultérieures concernant Uber ne démontrent pas rétrospectivement les faits discutés en 2015. Elles illustrent des questions différentes qu’il faut examiner séparément.

La CNIL a présenté le 24 août 2026 une sanction de 824 990 000 euros prononcée par l’autorité néerlandaise contre Uber B.V. et Uber Technologies Inc. Elle concerne des décisions individuelles automatisées de déconnexion de chauffeurs, avec des effets significatifs sur leur activité. Ce dossier porte sur le processus de décision et l’intervention humaine, pas sur la simple expiration d’un délai de conservation.

Le montant d’une décision ne dispense donc jamais d’en identifier le fondement, l’autorité et le périmètre. Pour les principes applicables aux conséquences juridiques d’un manquement, consultez le guide des sanctions RGPD.

Construire un dossier de conservation vérifiable

Pour chaque ensemble de données, consignez la finalité, le point de départ du délai, la durée, sa justification et le sort final : suppression, anonymisation effective ou archivage encadré. Précisez aussi les personnes qui peuvent accéder aux données archivées.

Puis vérifiez le fonctionnement réel : une règle écrite peut être contredite par un export oublié, un compte toujours actif ou un prestataire qui conserve une copie. Faites contrôler les suppressions par échantillonnage et documentez les exceptions liées à un litige. Ces modalités sont des recommandations d’organisation ; leur fréquence dépend du contexte.

Enfin, un droit à l’effacement peut conduire à revoir le dossier avant l’échéance prévue. Inversement, une obligation légale ou la défense de droits en justice peut justifier de conserver certaines données malgré une demande, dans les conditions de l’Art. 17(3). La réponse doit être individualisée.

Partir d’un objet métier, puis distinguer ses usages

Une ligne intitulée « données clients : trois ans » ne suffit pas à piloter une plateforme. Un compte, une prestation, un paiement, une réclamation et un journal technique peuvent concerner la même personne sans répondre au même besoin. Commencez par décrire ce que l’équipe doit encore pouvoir faire : exécuter une prestation en cours, expliquer une facture, résoudre une contestation déterminée ou rechercher l’origine d’un accès anormal.

Cette description permet de discuter les données une par une. Pour expliquer un montant, la référence de prestation et les éléments de calcul peuvent être nécessaires ; cela ne démontre pas que tous les événements de localisation doivent rester consultables par le service commercial. Pour instruire une réclamation, la copie pertinente d’un échange peut suffire sans ouvrir tout l’historique du compte à chaque intervenant.

Une fiche de décision peut comporter les rubriques suivantes :

Ce tableau est un support proposé, pas une liste réglementaire de mentions. Sa valeur vient des réponses et de leur application dans les systèmes.

Définir des déclencheurs que les équipes savent constater

Une durée correcte devient inutilisable si personne ne sait quand elle commence. La fermeture d’un compte, la dernière prestation et la résolution d’une réclamation sont trois événements différents. Écrivez celui qui s’applique à chaque objet, puis identifiez où sa date est enregistrée. Un statut « inactif » renseigné manuellement n’est pas nécessairement la preuve d’une fin de relation.

Examinez ensuite les événements qui pourraient modifier le calcul. Un nouvel achat peut ouvrir une nouvelle prestation ; il ne justifie pas automatiquement de conserver à nouveau toutes les données des opérations précédentes. Une connexion technique ou une tentative de paiement échouée ne doit pas prolonger une conservation simplement parce qu’elle met à jour une colonne « dernière activité ».

Pour rendre la règle contrôlable, préparez quelques dossiers fictifs : compte fermé avec prestation terminée, compte encore ouvert sans opération en cours, réclamation pendante sur une seule prestation. Pour chacun, demandez aux équipes métier et technique de calculer le sort attendu des différentes pièces. Les divergences révèlent une règle insuffisamment définie avant même d’examiner son automatisation.

Un litige identifié appelle une exception délimitée

Considérons un exemple entièrement fictif. Une plateforme de livraison reçoit une contestation concernant la prestation L27. Son équipe souhaite suspendre l’effacement de toutes les données du client pour pouvoir « se défendre ». Cette demande est trop large pour servir directement d’instruction technique.

Le dossier à instruire doit préciser la contestation, les pièces potentiellement utiles et leur disponibilité. La référence L27, l’échange litigieux et le calcul du prix n’ont pas nécessairement le même intérêt que les déplacements associés à cinquante autres prestations. À ce stade, l’utilité d’un relevé de localisation demeure une question à examiner ; l’exemple ne présume ni sa nécessité ni son absence de pertinence.

Si une conservation pour la défense de droits est justifiée, délimitez les éléments retenus et les personnes habilitées. Consignez une date de réexamen et l’événement qui permettra de lever le maintien. Une échéance de suivi sert à éviter l’oubli ; elle ne remplace pas l’analyse de la durée nécessaire. La fin d’une intervention du support ne signifie pas automatiquement que tout besoin contentieux a disparu.

Cette décision n’autorise pas la prospection ou l’analyse commerciale des pièces maintenues. Elle ne règle pas non plus, à elle seule, une demande d’effacement : celle-ci demande une réponse motivée au regard des données et des exceptions effectivement applicables.

Vérifier l’exécution sans produire une nouvelle réserve de données

Une opération d’effacement mérite un contrôle défini avant son lancement. Pour chaque périmètre, indiquez les résultats attendus dans la base active, les exports recensés et les traitements confiés à un prestataire. Une disparition de l’écran utilisateur ne prouve pas que la donnée a disparu des autres emplacements.

Choisissez un échantillon adapté au risque, avec des dossiers arrivés à échéance et des exceptions documentées. Vérifiez également qu’une reprise technique ne réintroduit pas les éléments déjà effacés. Les sauvegardes nécessitent une analyse de leur cycle, de leurs accès et des procédures de restauration ; leur existence ne constitue pas une permission de réutilisation générale.

Conservez une preuve proportionnée de l’opération : périmètre, date, règle appliquée, résultat du contrôle et anomalies à corriger. Il n’est pas nécessaire de recopier systématiquement toutes les données supprimées dans un fichier de preuve. Une telle copie pourrait recréer précisément le stock que l’opération devait réduire.

Enfin, distinguez les états du suivi : opération demandée, exécutée, contrôlée ou encore incertaine. Si un prestataire confirme une suppression sans couvrir les exports transmis auparavant, conservez cette limite dans le dossier et instruisez les copies concernées. La clôture dépend des éléments vérifiés et des incertitudes restantes, pas du seul envoi d’un courriel.

Ce qu’il faut retenir

• Une mesure d’enquête ne prouve ni culpabilité ni instrumentalisation politique.
• Les durées se définissent par finalité et catégorie de données.
• Un dossier pénal, une sanction administrative et une politique interne ne se confondent pas.
• La conformité exige de vérifier les suppressions réelles, pas seulement la documentation.

FAQ

Une donnée de trajet est-elle toujours une donnée sensible au sens du RGPD ?

Pas automatiquement au sens de l’Art. 9. Elle peut néanmoins révéler des informations délicates et créer des risques importants selon son usage et les rapprochements effectués.

Peut-on conserver toutes les données au cas où un litige surviendrait ?

Une justification générale ne suffit pas. Il faut déterminer les données nécessaires, la durée adaptée, les accès et le fondement de la conservation.

Une sanction récente permet-elle de conclure sur une ancienne enquête ?

Non. Chaque dossier doit être examiné selon ses faits, son fondement et sa procédure. Une décision distincte ne prouve pas les faits d’une autre affaire.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.