Introduction

Les micro-travailleurs peuvent-ils trouver, dans l’ordre juridique, des mécanismes protecteurs face aux systèmes de management algorithmique ? Cette question constitue la problématique de cette contribution. Pour y répondre, il convient de définir préalablement quelques notions clés. Tout d’abord, la notion de protection. Selon nous, la « protection » revêt deux dimensions. D’une part, une dimension positiviste qui invite à identifier d’éventuels mécanismes de protection au sein du droit positif. D’autre part, une dimension prospective qui incite à envisager de potentielles réformes susceptibles d’établir ou renforcer, le cas échéant, une telle protection. Dans le cadre de notre article, nous nous concentrerons principalement sur la première dimension.

La protection est aussi un terme polysémique. En effet, d’aucuns l’envisagent sous l’angle de la liberté individuelle. C’est, par exemple, le cas de Suzanne Vergnolle, qui définit la protection des personnes comme « la reconnaissance pour chaque personne d’un espace d’autodétermination lui permettant de faire ses propres choix en termes de déplacement, de domicile ou de vie privée, sans intervention d’une autre personne ou d’une autorité publique » (Vergnolle, 2022). À partir de cette conception, elle a pu déterminer une série de conditions afin d’améliorer l’effectivité de la protection des personnes à travers le droit de la protection des données à caractère personnel.

Nous retiendrons quant à nous une définition plus large. La protection désignera la « précaution qui, répondant au besoin de celui ou de ce qu’elle couvre et correspondant en général à un devoir pour celui qui l’assure, consiste à prémunir une personne […] contre un risque, à garantir sa sécurité, son intégrité, etc., par des moyens juridiques ou matériels » (Cornu & Association Henri Capitant, 2023). Dès lors, penser la protection implique de procéder à une opération d’évaluation sur la capacité du droit à anticiper un risque et en préserver les personnes qui y sont exposées.

En l’espèce, le risque désigne l’éventuel préjudice causé par les décisions du système de management algorithmique ; et les personnes exposées, ce sont les micro-travailleurs.

En l’occurrence, la situation des micro-travailleurs interroge, car des doutes subsistent concernant la nature de leur activité et donc du statut juridique qui s’applique à eux. Sont-ils des travailleurs ou des consommateurs ? S’ils sont des travailleurs, sont-ils des travailleurs salariés ou indépendants ? Jusqu’ici, la Cour de cassation considère que les micro-travailleurs n’effectuent pas une prestation de travail sous un lien de subordination¹. Ils sont donc, pour le moment, exclus du salariat. Pour autant, des incertitudes demeurent. En effet, bien que la question relative à la nature juridique de leur prestation fût posée à la chambre sociale par la chambre criminelle, celle-ci a soigneusement évité d’y répondre². Le débat a été ainsi recentré autour du critère du lien de subordination juridique en laissant sans réponse la question relative à la nature de la prestation du micro-travailleur. Or l’enjeu est de taille. Effectivement, la directive 2024/2831, relative à l’amélioration des conditions de travail dans le cadre du travail via une plateforme, prévoit un chapitre relatif à la gestion algorithmique. Toutefois, ce chapitre ne saurait s’appliquer que si le micro-travailleur assure une prestation de travail, ce qui reste à démontrer. Tant que cette incertitude relative à la nature de sa prestation subsiste, nous ne pourrons pas nous appuyer sur cette directive, même si, selon nous, les micro-travailleurs réalisent bien une prestation de travail (Pak, 2023).

Ces limites ayant été exposées, nous allons partir de l’hypothèse que les micro-travailleurs ne sont pas des travailleurs salariés. Dans cette optique, nous tenterons de déterminer si le droit positif est en mesure de protéger les micro-travailleurs des éventuels préjudices qu’ils pourraient subir du fait de l’usage d’un système de management algorithmique (tel que le refus d’accès au service, les décisions discriminatoires, le prononcé d’une sanction ou la mise en place d’un blocage injustifié, etc.).

Notre étude sera divisée en deux parties. Dans un premier temps, nous analyserons le rapport entre l’objet (l’algorithme) et les sujets de droit, à savoir d’un côté, les micro-travailleurs et de l’autre l’opérateur de plateforme (I). Cette première partie nous permettra d’établir que l’usage d’un algorithme, à des fins de management, a pour conséquence l’application aux micro-travailleurs du droit relatif à la protection des données à caractère personnel. Or, l’application de ce droit a pour effet de transformer le rapport d’objet à sujet, en un rapport entre deux sujets de droit, à savoir le responsable du traitement (l’opérateur de plateforme) et les personnes concernées par le traitement (les micro-travailleurs). À l’issue de cette première partie, qui est indispensable à notre démonstration, nous allons examiner si la législation relative à la protection des données personnelles permet d’octroyer aux micro-travailleurs une protection juridique adéquate (II).

I. Du rapport objet de droit — sujets de droit

L’usage d’un algorithme à des fins d’organisation et de gestion d’une relation de travail est une donnée relativement nouvelle, caractéristique du travail réalisé via les plateformes numériques. Dans notre cas, l’algorithme est conçu par l’opérateur de plateforme (A). Toutefois, il ne peut fonctionner sans les données des micro-travailleurs (B).

A. L’algorithme par rapport à l’opérateur de plateforme

Le lien entre l’opérateur de plateforme et l’algorithme ne pose, a priori, aucune difficulté dans la mesure où l’opérateur conçoit l’algorithme et l’utilise dans le cadre de son activité. L’algorithme et l’opérateur de plateforme sont ainsi étroitement liés. Plusieurs dispositions le montrent. D’une part, au niveau du droit de l’Union européenne (UE), la qualification de plateforme numérique de travail repose notamment sur « l’utilisation de systèmes de surveillance automatisés ou de systèmes de prise de décision automatisés »³. D’autre part, en droit interne, une disposition légale, désormais abrogée, définissait, du moins en partie, l’opérateur de plateforme à partir de l’usage des algorithmes. Il s'agissait de l'ancien article L.111-7, I, 1° du Code de la consommation. Selon ce texte, l'opérateur de plateforme désignait « toute personne physique ou morale proposant, à titre professionnel, de manière rémunérée ou non, un service de communication au public en ligne reposant sur : 1° Le classement ou le référencement, au moyen d’algorithmes informatiques, de contenus, de biens ou de services proposés ou mis en ligne par des tiers ; 2° Ou la mise en relation de plusieurs parties en vue de la vente d’un bien, de la fourniture d’un service ou de l’échange ou du partage d’un contenu, d’un bien ou d’un service ». Les services de micro-travail remplissaient les deux critères. En effet, l’opérateur réalise, à la fois, un référencement des micro-tâches disponibles au moyen d’algorithmes (Renault, 2018 ; Barraud de Lagerie & Sigalo Santos, 2018) et, a priori⁴, une mise en relation entre le micro-travailleur et les clients (Casilli et al., 2019).

Si en sa qualité de concepteur, l’opérateur de micro-travail peut protéger l’algorithme sur le fondement du secret des affaires⁵ (Bougeard, 2021 ; G’Sell, 2020), cela ne signifie pas en revanche qu’il est en capacité de comprendre les différents algorithmes qu’il intègre au sein de son service. Aussi, les espoirs nourris par l’exigence de « transparence algorithmique », proposée par de nombreux auteurs, peuvent être relativisés (Cardon, 2015 ; Gamet, 2022)⁶. En effet, l’effectivité de la transparence algorithmique peut être questionnée par certaines difficultés d’ordre technique. Effectivement, l’algorithme est un langage issu de multiples traductions. De ce fait, pour le comprendre, il faut posséder un certain niveau de compétence technique. Or, même en ayant ce niveau de compétence, celui-ci peut s’avérer insuffisant, eu égard aux limites matérielles de la langue et, a fortiori, de la traduction. Dès lors, le droit à l’explication de la décision algorithmique⁷ demeure un enjeu majeur (qui fait, par ailleurs, encore l’objet d’obstacles : Merigoux et al., 2024). Bien que les propositions, qui recommandent de rendre les algorithmes intelligibles présentent une avancée certaine (Savoldelli, 2021), il ne faut pas perdre de vue les limites techniques précédemment évoquées. Enfin, même dans l’hypothèse où la traduction de la méthode algorithmique permettrait la parfaite compréhension du fonctionnement de l’algorithme, celle-ci ne saurait éviter le risque de préjudice, dans la mesure où la neutralité algorithmique est une pure illusion (G’Sell, 2020; Cardon, 2019).

Ces développements ont permis d’établir une première difficulté dans l’objectif qui consiste à assurer la protection des micro-travailleurs vis-à-vis des dérives du management algorithmique. En effet, bien que l’opérateur de micro-travail soit le concepteur de l’algorithme, il n’est peut-être pas capable de comprendre véritablement son fonctionnement et d’anticiper certains résultats. Dès lors, la transparence algorithmique et le droit à l’explicabilité de ses décisions sont des dispositifs imparfaits pour protéger les micro-travailleurs face aux risques auxquels ils sont exposés. Et pourtant, leurs données sont indispensables pour que l’algorithme fonctionne (B).

B. Le micro-travailleur par rapport à l’algorithme

Le micro-travailleur est dialectiquement lié à l’algorithme. D’un côté, il lui permet de fonctionner, puisque ses données sont indispensables au fonctionnement de l’algorithme (« L’algorithme sans données est aveugle. Les données sans algorithmes sont muettes » : CNIL, 2017). De l’autre côté, il est destinataire des décisions algorithmiques, lesquelles produisent des effets parfois préjudiciables à son égard. Ce dernier point a d’ores et déjà été exposé, d’une part, par la contribution de C. Sybord⁸, à travers les fonctions de l’algorithme en matière de management, et d’autre part, par certaines études juridiques (Gamet, 2022 ; G’Sell, 2020 ; Sereno, 2020 ; Savoldelli, 2021 ; Peyronnet, 2022). Pour notre part, comprendre que le micro-travailleur est un « fournisseur de données » permet d’envisager l’application du droit des données à caractère personnel. En effet, il existe peu de doutes quant au fait de savoir si les données utilisées par l’algorithme sont des données à caractère personnel⁹. Un algorithme a forcément besoin d’identifier individuellement le micro-travailleur lorsqu’il exécute une décision à son égard (sur la notion de décision : Huttner, 2024 & Adam, 2022). Par exemple, si l’algorithme exclut un micro-travailleur de la plateforme, il utilise nécessairement les données permettant de l’identifier, tel que son nom, son prénom, son adresse mail, ses identifiants de connexion au service, son adresse IP¹⁰, etc. Certes, cela n’est pas suffisant. Encore faut-il déterminer si les autres conditions d’application du RGPD sont remplies¹¹. En l’occurrence, pour le cas des micro-travailleurs situés en France, cela ne pose aucune difficulté. L’algorithme, quant à lui, réalise bien des traitements au sens du RGPD¹². Il constitue, plus précisément, un système de traitement automatisé de données.

L’application aux micro-travailleurs du droit de la protection des données à caractère personnel suppose de définir un responsable du traitement¹³ et une personne concernée par le traitement. Cette opération nous permet de passer d’une relation entre un sujet et un objet à une relation entre deux sujets de droit. Le responsable du traitement sera ainsi soumis à diverses obligations et la personne concernée par le traitement bénéficiera des droits qui lui sont reconnus. En l’espèce, l’opérateur de micro-travail étant le concepteur et l’usager de l’algorithme ainsi que le propriétaire de la plateforme de micro-travail, il détermine les finalités et les moyens du traitement. Il est donc le responsable du traitement. De son côté, le micro-travailleur fournit ses données à caractère personnel nécessaires au fonctionnement de l’algorithme. Il est donc la personne concernée par la collecte et le traitement de données. Micro-travailleur et opérateur de plateforme sont directement en relation. Par ce changement de perspective on évite la tentation d’un « fétichisme numérique » (Bouquin, 2023), qui aurait vocation à considérer la technologie numérique comme « une force autonome ». Il convient de rappeler au contraire que la technologie numérique est « un dispositif d’agencement des rapports sociaux de production » (Bouquin, 2023). Reste à savoir si la réglementation applicable à cette nouvelle relation permet d’assurer aux micro-travailleurs une protection adéquate face aux éventuels préjudices qu’ils pourraient subir du fait de l’usage d’un système de management algorithmique à leur égard. C’est ce que nous allons étudier désormais (II).

II. Au rapport inter-sujets de droit

Pour réaliser notre étude, nous allons procéder en deux temps. Nous analyserons d’abord la réglementation applicable lors de la collecte des données personnelles (A). Nous évoquerons ensuite celle applicable au moment du traitement des données personnelles collectées (B).

A. Lors de la collecte des données personnelles

Pour mettre en place un système de management algorithmique, le responsable du traitement doit, tout d’abord, collecter les données personnelles du micro-travailleur. Pour cela, plusieurs principes imposés par le RGPD doivent être respectés. Nous allons nous concentrer sur les principes susceptibles d’assurer une protection du micro-travailleur, afin d’en apprécier la véritable portée. Nous en retenons trois.

Tout d’abord, la collecte des données à caractère personnel doit être « licite, loyale et transparente »¹⁴. Les caractères loyal et transparent de la collecte renvoient essentiellement à l’obligation¹⁵ d’information¹⁶ qui pèse sur le responsable du traitement (corollaire du droit à l’information de la personne concernée). Le caractère licite suppose, quant à lui, que la collecte repose sur une base juridique appropriée pour le traitement envisagé.

En l’occurrence, trois bases juridiques¹⁷ peuvent justifier la mise en place d’un système de management algorithmique sur une plateforme de micro-travail. Les lignes directrices adoptées par le Groupe 29 (ou G29)¹⁸, le 3 octobre 2017¹⁹, nous fournissent, de surcroît, quelques précisions essentielles. Il s’agit tout d’abord du « consentement » de la personne concernée par le traitement. Pour cette base, le G29 explique que le responsable du traitement devrait être en mesure de « démontrer que les personnes concernées comprennent exactement ce à quoi elles consentent », ce qui suppose de leur fournir une information complète. Ensuite, la collecte pourrait être justifiée par l’exécution d’un contrat. En l’occurrence, le traitement doit être, plus précisément, nécessaire à cette exécution. Cependant, cette condition est interprétée de façon restrictive. Enfin, la collecte pourrait se justifier par la protection d’un intérêt légitime. Cette troisième base juridique suppose toutefois que le responsable du traitement procède « à une mise en balance afin de déterminer si les intérêts ou les droits et libertés fondamentaux de la personne concernée prévalent sur ses propres intérêts ».

Une fois les caractères licite, loyal et transparent de la collecte établis, encore faut-il, que celle-ci se fasse dans le cadre de finalités « déterminées, explicites et légitimes »²⁰. Il s’agit du principe de limitation des finalités. Ce principe a plusieurs fonctions. Premièrement, il assure aux personnes concernées un certain niveau de transparence, en leur indiquant les raisons pour lesquelles le responsable du traitement collecte et traite leurs données personnelles. Deuxièmement, il permet de contrôler que les données ne fassent pas l’objet de traitements ultérieurs incompatibles avec les finalités déterminées par le responsable du traitement. Enfin, il permet d’apprécier si le principe de minimisation, qui implique que la collecte soit limitée aux données strictement nécessaires à la réalisation des finalités déterminées, est respecté.

Ces trois principes, issus du RGPD, se rattachent clairement à une logique de protection de la personne, en l’occurrence du micro-travailleur. Cependant, elle est mise à mal par le fait que le responsable du traitement dispose de marges de manœuvres pour mettre en place un système de management algorithmique sans contrôle préalable. En effet, l’esprit du RGPD est guidé par le principe d’accountability²¹. Ce principe désigne l’obligation pour le responsable du traitement « de mettre en œuvre des mécanismes et des procédures internes permettant de démontrer le respect des règles relatives à la protection des données »²². Toutefois, il n’implique aucun contrôle préalable à la mise en place d’une collecte et d’un traitement de données à caractère personnel. Ce contrôle de conformité au RGPD n’a lieu qu’a posteriori, ce qui est incompatible avec l’idée d’anticipation du risque — condition sine qua non de la protection. De ce fait, ce principe constitue une limite majeure à la protection des micro-travailleurs face aux risques auxquels ils sont exposés lorsqu’un système de management algorithmique est utilisé par l’opérateur de micro-travail.

En revanche, l’analyse d’impact relative à la protection des données (AIPD), énoncée à l’article 35 du RGPD, pourrait apparaître comme un dispositif davantage efficace. En effet, l’AIPD est obligatoire lorsqu’un « type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques »²³. La nécessité de réaliser une analyse d’impact, s’agissant des travailleurs de plateformes, est d’ailleurs prévu à l’article 8 de la directive 2024/2831, relative à l’amélioration des conditions de travail des travailleurs des plateformes. Elle doit, en l’occurrence, être fournie aux représentants des travailleurs lorsqu’ils sont salariés (article 8, 2°). Toutefois, ce n’est pas nécessairement le cas des micro-travailleurs²⁴.

L’intérêt de l’AIPD réside dans la description du traitement ainsi que l’évaluation de sa nécessité et de sa proportionnalité par rapport aux finalités déterminées par le responsable du traitement. Elle suppose également une appréciation du traitement au regard des risques qu’il engendre pour les droits et les libertés des personnes concernées, ainsi qu’une réflexion autour des mesures protectrices à mettre en place préalablement au traitement. Dans cette hypothèse, nous sommes bien dans le cadre d’un mécanisme préventif. Cependant, encore faut-il savoir si cette AIPD doit être mise en œuvre dans le cadre du micro-travail. Selon nous, lorsque l’opérateur de micro-travail met en place un système de traitement automatisé de données, à l’instar d’un système de management algorithmique²⁵, la réponse doit être positive.

De surcroît, l’AIPD peut faire l’objet d’une consultation préalable de la CNIL lorsque « le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque »²⁶. Ainsi, l’AIPD présente toutes les caractéristiques d’un dispositif de protection. En effet, son édiction nécessite d’anticiper les effets d’un système de management algorithmique susceptibles de causer un préjudice aux personnes concernées. Cependant, la consultation préalable de la CNIL n’est pas systématique car elle est conditionnée par la présence d’un risque élevé, que le responsable du traitement doit être en mesure d’identifier. Il s’agit d’une limite découlant, une nouvelle fois, du principe d’accountability²⁷. Bien sûr, en cas d’intervention de la CNIL, celle-ci jouerait un rôle actif, par la fourniture d’un avis écrit ou l’exercice de ses pouvoirs énoncés à l’article 58 du RGPD²⁸. Dans cette dernière hypothèse, les manquements du responsable du traitement pourraient être sanctionnés. Néanmoins, nous observons que, de manière générale, la réglementation laisse peu de place à une protection in concreto.

En définitive, les exigences imposées par le RGPD lors de la collecte des données sont impuissantes à offrir une véritable protection au micro-travailleur face aux éventuels préjudices qu’ils peuvent subir du fait de l’usage d’un système de management algorithmique. Cela ne signifie pas, pour autant, que l’application du RGPD au micro-travail serait sans intérêt. Les principes de transparence, de limitation des finalités, de minimisation des données collectées ainsi que la nécessité de réaliser une AIPD en cas de risque élevé pour les droits et les libertés des personnes concernées, présentent un intérêt certain pour les micro-travailleurs. Toutefois, ces exigences ne leur offrent pas une protection adéquate dans la mesure où la logique du RGPD mise davantage sur la réparation ex-post du préjudice subi plutôt que sur sa prévention ex-ante. Autrement dit, le risque d’un préjudice n’est pas anticipé mais réparé, une fois qu’il s’est produit.

Aussi, un changement de logique serait selon nous, nécessaire. En effet, la confiance octroyée au responsable du traitement par le RGPD est incompatible avec une protection ex-ante. Le principe d’accountability devrait, selon nous, être remis en cause. Effectivement, l’exigence d’un consentement libre, spécifique, éclairé et univoque²⁹, ne saurait pallier à ces faiblesses car elle n’est pas systématique. Par ailleurs, quand bien même elle le serait, le micro-travailleur n’aurait, de toute façon, pas vraiment de marges de manœuvre s’il souhaite réaliser des micro-tâches pour obtenir une rémunération. Il convient ainsi de conclure que la réglementation actuelle ne serait efficace que dans le cadre d’une contestation ex-post³⁰.

D’aucuns pourraient alléguer toutefois, que les micro-travailleurs bénéficient de droits susceptibles d’être exercés à l’égard du responsable du traitement lorsque le traitement est mis en œuvre. Il convient, donc, de les analyser (B).

B. Lors du traitement des données personnelles

Lors du traitement des données à caractère personnel³¹, d’autres obligations incombent au responsable du traitement. Nous pouvons citer, par exemple, l’exigence de tenir un registre de traitement³². Certes, les entreprises de moins de 250 salariés ne sont pas soumises à cette obligation. Toutefois, l’exigence d’effectif tombe notamment si « le traitement […] est susceptible de comporter un risque pour les droits et des libertés des personnes concernées »³³. C’est le cas d’un traitement automatisé de données personnelles, dont le profilage fait partie. Néanmoins, dans le cadre de notre étude, nous allons davantage nous intéresser aux droits des personnes concernées. En l’espèce, seul le droit à l’information³⁴ octroyé par la réglementation pose, en général, peu de difficultés, car il s’applique en toutes circonstances. En revanche, nous verrons que les autres droits octroyés par la réglementation ont une efficacité limitée.

D’abord, nous allons évoquer le droit énoncé à l’article 15 du RGPD. En effet, selon cette disposition, la personne concernée peut « obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel » ainsi qu’à diverses informations³⁵. C’est un droit « fonctionnel » (Loiseau, 2023) dans la mesure où il permet, d’une part, de s’assurer de la conformité d’un traitement au RGPD, et d’autre part, d’exercer d’autres droits. Il porte sur les données à caractère personnel (notion appréciée de manière large³⁶) ainsi que les modalités du traitement. De manière générale, les informations fournies dans le cadre de ce droit sont de même nature que celles constituant l’objet de l’obligation d’information incombant au responsable du traitement. La différence réside dans l’exigence d’une contextualisation desdites informations (Perray, 2023)³⁷. Lorsqu’une demande d’accès aux données est formulée, le responsable du traitement doit transmettre une « copie des données à caractère personnel faisant l’objet d’un traitement ». Là encore, la notion de « copie » est appréciée de manière large³⁸.

Toutefois, ce droit présente diverses limites. Tout d’abord, il ne concerne que les données personnelles de la personne qui l’exerce. En ce sens, la CNIL précise que « le droit d’accès doit s’exercer dans le respect du droit des tiers […] » (CNIL, 2023). Cela peut faire obstacle à la preuve, par exemple, de l’existence d’une discrimination algorithmique. Certes, la position de la CNIL doit être relativisée dans la mesure où un arrêt de la chambre sociale de la Cour de cassation a admis, de manière conditionnée, la communication de certaines données de tiers dans le cadre de l’exercice du droit à la preuve en matière de discrimination³⁹. Néanmoins, quid des travailleurs non-salariés ? La discrimination peut être réprimée par le droit pénal⁴⁰, ce qui nécessite l’enclenchement d’une action publique. Toutefois, en dehors de cette hypothèse, nous décelons une réelle contradiction entre les intérêts individuels (la protection des données du micro-travailleur à l’égard des autres) et les mécanismes collectifs qui sont à l’œuvre (l’intérêt des micro-travailleurs à s’intéresser aux données utilisées par le système de management algorithmique imposé par l’opérateur de micro-travail, et de les comparer). Pour y remédier, nous pourrions étendre le droit d’accès à la communication des données des tiers concernés par le traitement, à condition qu’elles soient préalablement pseudonymisées et que le bénéficiaire ne dispose d’aucun moyen de réidentification. Une telle piste peut d’autant plus être envisagée, que selon la CJUE, les données pseudonymisées « ne doivent pas être considérées comme constituant, en toute hypothèse et pour toute personne, des données à caractère personnel […] dans la mesure où la pseudonymisation peut, selon les circonstances de l’espèce, effectivement empêcher des personnes autres que le responsable du traitement d’identifier la personne concernée de telle manière que, pour elles, celle-ci n’est pas ou n’est plus identifiable »⁴¹.

Ensuite, l’alinéa 4 de l’article 15 dispose que « le droit d’obtenir une copie […] ne porte pas atteinte aux droits et libertés d’autrui ». Sur le plan juridique, cette règle est cohérente. En effet, le droit à la protection des données personnelles n’est pas un droit absolu et doit « être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité »⁴². Cependant, l’effectivité réelle du droit d’accès dépend du contenu des droits et libertés d’autrui. En l’occurrence, l’algorithme est protégé par le secret des affaires⁴³. Or, le considérant 63 du RGPD précise justement que le droit d’accès aux données personnelles « ne devrait pas porter atteinte aux droits ou libertés d’autrui, y compris au secret des affaires […] »⁴⁴. Certes, cela ne doit pas conduire le responsable du traitement à refuser toute communication. En l’occurrence, la personne concernée peut obtenir, en cas de traitement automatisé de données, « des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues » du traitement à son égard⁴⁵. Néanmoins, l’explicabilité de la décision algorithmique présente des limites que nous avons exposées précédemment. Dès lors, la portée de ce droit est insuffisante pour garantir une protection ex-ante des micro-travailleurs face au système de management algorithmique.

Enfin, le droit d’accès est limité, à l’instar des autres droits, par les modalités de son exercice, énoncées au sein de l’article 12 du RGPD. En effet, si le responsable du traitement considère que la demande est manifestement infondée ou excessive, notamment par son caractère répétitif, il peut soit « exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées », soit « refuser de donner suite » à la demande⁴⁶. Bien qu’il lui incombe de démontrer le caractère manifestement infondé ou excessif de la demande d’exercice du droit, cela peut poser des difficultés supplémentaires dans la mesure où l’exercice d’un recours serait nécessaire. Il en résulte que le droit d’accès, pourtant essentiel, fait l’objet de limitations permettant de douter de son efficacité pour protéger les micro-travailleurs du risque de préjudice qu’ils pourraient subir du fait de l’usage d’un système de management algorithmique.

De la même manière, nous pouvons citer « le droit [de la personne concernée] de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire ». Ce droit est énoncé à l’article 22 du RGPD. De prime abord, il paraît être adapté pour octroyer une protection au bénéfice des micro-travailleurs, à l’égard d’un système de management algorithmique. Cependant, il souffre de nombreuses déficiences (Netter, 2022 ; Huttner, 2024). Les premières résultent d’une interprétation littérale de son champ d’application matériel, car plusieurs angles-morts apparaissent lorsque nous décomposons la disposition. En effet, il s’agit du droit de ne pas faire l’objet d’une décision fondée :

1° « Exclusivement sur un traitement automatisé, y compris le profilage ». Le caractère exclusivement automatisé du traitement signifie qu’une intervention humaine permet d’exclure le bénéfice de ce droit. L’ancien G29 a posé des garanties en précisant que « le responsable du traitement doit s’assurer que tout contrôle de la décision est significatif et ne constitue pas qu’un simple geste symbolique. Le contrôle devrait être effectué par une personne qui a l’autorité et la compétence pour modifier la décision »⁴⁷. Néanmoins, cela confirme aussi que toutes les décisions consécutives à l’utilisation d’un algorithme ne sont pas susceptibles d’entrer dans le champ de l’article 22 du RGPD. En ce sens, nous pouvons reprendre la distinction de Liane Huttner entre la décision fondée « notamment sur un algorithme » et la décision fondée « exclusivement sur un algorithme » (Huttner, 2024). Pour les premières, les personnes concernées par le traitement ne peuvent bénéficier de ce droit.

2° De surcroît, la décision, qui résulte exclusivement d’un traitement automatisé de données personnelles, doit produire « des effets juridiques » à l’égard de la personne concernée par le traitement. Selon l’ancien G29, cela signifie que la décision doit avoir un effet sur les droits de la personne concernée ou sa situation juridique. En guise d’exemples, sont cités : « l’annulation d’un contrat ; le droit ou le refus d’un avantage social particulier accordé par la loi, comme l’allocation familiale ou l’allocation de logement ; le refus d’admission dans un pays ou le refus de citoyenneté »⁴⁸. En l’occurrence, s’agissant du micro-travail, on peut penser aux décisions d’exclusion des micro-travailleurs de la plateforme.

3° Ou l’affecter « de manière significative de façon similaire ». Autrement dit, la conséquence concrète doit être similaire à celle « d’une décision produisant un effet juridique »⁴⁹. Sur ce point, l’ancien G29 ajoute que « les effets du traitement doivent être suffisamment conséquents ou importants pour être pris en considération. En d’autres termes, la décision doit être de nature à : affecter de manière significative la situation, le comportement ou les choix des personnes concernées ; avoir un impact prolongé ou permanent sur la personne concernée ; ou à l’extrême, entraîner l’exclusion ou la discrimination des personnes ». Parmi les exemples de telles décisions, l’ancien G29 cite, pour ce qui nous intéresse, le cas des décisions privant « une personne d’une possibilité d’emploi ou qui la désavantagent gravement »⁵⁰. Toutefois, l’indétermination du statut du micro-travailleur a des conséquences sur l’appréciation de la notion « d’emploi » (Gardes, 2013) et risque de poser des difficultés. On peut citer l’exemple d’une affaire opposant l’organisation NOYB et Amazon Mechanical Turk (AMT) auprès de la Commission nationale pour la protection des données (CNPD) du Luxembourg. En l’espèce, l’organisation avançait que le refus d’AMT d’enregistrer la personne au sein de sa plateforme de micro-travail constituait une atteinte au droit de l’article 22 du RGPD. En effet, cette décision automatisée aurait eu un impact significatif sur sa situation « en ce qu’elle l’[avait] privée d’une relation contractuelle rémunérée »⁵¹. Cela constitue une référence directe aux lignes directrices du G29. Pourtant, la plainte a été rejetée le 21 avril 2023⁵².

Par ailleurs, d’autres limites résultent des exceptions au bénéfice de ce droit. Elles sont énoncées au 2° de l’article 22 du RGPD. Il y en a trois. Cependant, deux nous intéressent dans le cadre de notre étude⁵³. La première concerne le cas où la décision serait « nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et un responsable du traitement ». S'agissant de cette première exception, l'ancien G29 précise que le responsable du traitement doit démontrer que ce traitement automatisé de données « est nécessaire, en tenant compte du fait qu’une méthode plus respectueuse de la vie privée pourrait être adoptée. S’il existe d’autres moyens efficaces et moins intrusifs pour atteindre le même but, alors le traitement ne serait pas “nécessaire” »⁵⁴.

La seconde exception, que nous mentionnons, renvoie à la situation où la décision serait "fondée sur le consentement explicite de la personne concernée". Pour comprendre son sens, le G29 avait fourni quelques précisions au sein de ses lignes directrices relatives au consentement⁵⁵. Le CEPD les a récemment modifiées⁵⁶. En l’occurrence, il explique qu’un consentement éclairé, au sens de l’article 5 du RGPD, suppose la communication d’informations relatives à « l’utilisation des données pour la prise de décision automatisée ». Ainsi, si de telles informations sont transmises lors de la collecte des données personnelles, et que le consentement du micro-travailleur est exprimé, en respectant les exigences imposées, alors l’opérateur de plateforme peut procéder à un traitement automatisé aboutissant à ce type de décisions. Dès lors, le micro-travailleur se trouverait désarmé. Cela peut être critiquable dans la mesure où un consentement donné a priori, si tant est qu’il soit exprimé librement, spécifiquement, de manière éclairée et non-équivoque au moment de la collecte des données, ne signifie pas forcément que le micro-travailleur se rende véritablement compte des effets des décisions issues d’un système de traitement de données automatisé. À notre sens, le consentement ne devrait pas empêcher la personne concernée par le traitement de bénéficier du droit de l’article 22 du RGPD de façon définitive. Certes, des tempéraments sont envisagés par le CEPD, notamment dans la situation où il y a « déséquilibre manifeste des rapports de force entre le responsable du traitement et la personne concernée »⁵⁷. C’est le cas de la relation de travail. En effet, pour le CEPD, il est inenvisageable de considérer que le consentement soit exprimé librement dans ces situations. Toutefois, une modification de cette disposition serait, selon nous, bienvenue.

Enfin, d’autres droits sont garantis par la réglementation relative à la protection des données personnelles. Il s’agit du droit à la rectification des données⁵⁸, à l’effacement⁵⁹, à la limitation du traitement⁶⁰ ou le droit à la portabilité des données⁶¹. Toutefois, au regard de leurs fonctions et de leurs conditions d’application, ils ne peuvent être efficaces pour octroyer au micro-travailleur un dispositif de protection face aux dérives d’un système de management algorithmique. Certes, il pourrait être avancé que le droit à la portabilité permettrait au micro-travailleur de se diriger vers une autre plateforme dotée d’un tel système moins contraignant. Néanmoins, il s’agit, selon nous, d’une hypothèse peu réaliste, dans la mesure où il serait difficile de comparer a priori les systèmes de management algorithmique entre eux, notamment en raison des limites de la transparence algorithmique que nous avons exposées⁶². Enfin, le droit d’opposition est tellement limité qu’il n’est pas possible de l’envisager comme une voie de protection⁶³. En effet, dans le cadre du micro-travail, il ne pourrait être exercé qu’à condition que le traitement soit fondé sur la protection des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers. Dès lors, il serait exclu dans le cas où le traitement serait fondé sur le consentement du micro-travailleur ou l’exécution du contrat⁶⁴. De surcroît, si la première condition était remplie, le micro-travailleur devrait tout de même justifier l’exercice du droit d’opposition par « des raisons tenant à sa situation particulière »⁶⁵. Toutefois, quand bien même cette seconde condition serait satisfaite, le responsable du traitement pourrait, à son tour, démontrer « qu’il existe des motifs légitimes et impérieux […] qui prévalent sur les intérêts et les droits et libertés de la personne concernée […] »⁶⁶.

Conclusion

La numérisation des espaces de travail s’est développée progressivement depuis les années 1990. La standardisation des protocoles de communication Internet à l’échelle planétaire a accéléré cette numérisation et généré progressivement la plateformisation du travail. Le management algorithmique est au cœur du modèle économique des plateformes numériques. Pour y faire face, les micro-travailleurs ne peuvent compter que sur le droit de la protection des données personnelles, car actuellement des incertitudes demeurent à propos de la qualification de leurs prestations et de leur relation contractuelle. Or, s’il est essentiel pour encadrer la collecte et le traitement de ces données, il ne permet pas d’octroyer une véritable protection des micro-travailleurs. Certes, les sanctions prévues par le RGPD trouvent une utilité certaine⁶⁷. Néanmoins, cela s’inscrit davantage dans une logique de réparation du préjudice subi plutôt qu’une véritable protection, qui nécessite d’anticiper le risque et d’éviter que la personne concernée y soit exposée. Nous pouvons nuancer notre propos en avançant que la protection et la réparation ne sont pas antinomiques. Elles se conjuguent puisque la présence de normes de protection implique réparation si elles ne sont pas respectées. Inversement, l’engagement de la responsabilité du responsable du traitement pour réparer un préjudice subi par la personne concernée devrait l’inciter à prendre des mesures de protection ex-ante. De surcroît, l’absence totale de risque est une pure illusion. Cependant, faire pencher la balance en faveur d’un principe de protection ou de réparation résulte d’un choix politique. En l’occurrence, le choix a été de concilier la libre circulation des données à caractère personnel, nécessaire pour développer l’activité économique, et la protection des personnes physiques⁶⁸. Il est matérialisé par le principe d’accountability⁶⁹. Toutefois, la mise en place d’un dispositif de protection reste possible. Pour cela, nous pourrions nous inspirer de mécanismes issus, par exemple, du droit du travail, à l’instar du droit d’alerte et de retrait des salariés⁷⁰. Nous pourrions également introduire des droits collectifs au bénéfice des personnes concernées par le système de management algorithmique. Les pistes d’amélioration de la réglementation sont nombreuses. Cependant, dans l’état actuel des choses, les micro-travailleurs peuvent toujours chercher la requalification de leur relation contractuelle. En effet, si leur contrat était qualifié de contrat de travail, le droit de la protection des données à caractère personnel deviendrait un véritable « auxiliaire du droit du travail » (Loiseau, 2024). L’application simultanée de ces deux branches du droit leur permettrait de bénéficier d’une protection complète.