Proč Uber dostal jednu z nejvyšších pokut podle GDPR

Uber čelí pokutě 825 milionů eur od nizozemského úřadu pro ochranu osobních údajů (AP). Důvodem je používání automatizovaných systémů, které mohly řidičům pozastavit nebo zcela deaktivovat účet, aniž by byli dostatečně informováni a měli k dispozici ochranné mechanismy vyžadované evropským nařízením GDPR. Pokud částka obstojí, půjde o druhou nejvyšší pokutu uloženou podle GDPR — hned po pokutě 1,2 miliardy eur pro společnost Meta z roku 2023. Uber se chce odvolat, takže výše sankce se ještě může změnit.

Nešlo jen o algoritmus, ale o ztrátu možnosti pracovat

Regulátor neposuzoval pouze to, zda Uber používá algoritmy k odhalování možného protiprávního jednání. Systémy společnosti mohly spustit opatření v případech, kdy se objevilo podezření na:

• podvod s jízdným,
• údajně zbytečné objížďky, které měly zvýšit cenu jízdy,
• přijaté jízdy, které řidiči podle systému nedokončili,
• nízké hodnocení od zákazníků.

Výsledkem mohlo být omezení nebo ukončení přístupu řidiče k platformě, a tím i k příjmu. Právě tento dopad je z hlediska GDPR zásadní. Nešlo o běžné třídění dat nebo doporučení reklamy, ale o rozhodnutí, které mohlo přímo ovlivnit něčí obživu.

Co GDPR vyžaduje u rozhodnutí s vážnými dopady

Podle pravidel GDPR by člověk obecně neměl být podroben rozhodnutí založenému výhradně na automatizovaném zpracování, pokud má pro něj významné důsledky a nejsou zajištěny odpovídající pojistky. Mezi ně patří skutečný lidský zásah, možnost vyjádřit vlastní stanovisko a možnost rozhodnutí napadnout.

Podle závěrů AP Uber tyto ochrany neposkytoval dostatečně. Pouhé oznámení poté, co algoritmus rozhodl, nestačí, pokud řidič nerozumí tomu, co se stalo, a nemůže požádat o nezávislé a řádné přezkoumání.

Proč nestačí formální „člověk ve smyčce“

Klíčový rozdíl spočívá v tom, zda člověk rozhodnutí skutečně přehodnotí, nebo jen potvrdí výsledek algoritmu. V souvisejícím případu odvolací soud v Amsterdamu dospěl k závěru, že lidské kontroly, na které Uber poukazoval, byly pouze symbolické. Soud proto odmítl spoléhat na formální koncept „člověka ve smyčce“.

Lidský dohled musí mít možnost výsledek změnit. Nesmí jít jen o procesní formalitu, po níž zůstane automatické rozhodnutí prakticky nedotčené. Řidič navíc musí dostat dostatek informací, aby mohl rozhodnutí smysluplně zpochybnit.

Co se řidiči údajně nedozvěděli

Podle zpráv založených na rozhodnutí regulátora Uber řidiče dostatečně neinformoval o tom, že při suspendování nebo deaktivaci účtu používá automatizované procesy. Tento nedostatek nebyl pouze formální: řidiči pak nemohli řádně posoudit, proč o přístup k účtu přišli ani jak napadnout rozhodnutí, které bylo v pozadí.

Případ tak obsahuje dva propojené problémy:

• Problém samotného rozhodování: automatizované zpracování mohlo mít závažné následky bez dostatečného lidského zásahu.
• Problém transparentnosti: řidiči nebyli dostatečně informováni o automatizovaném procesu ani o jeho dopadu na jejich účet.

Společnost proto nemusela vysvětlit jen to, jaké opatření přijala. Musela také nabídnout skutečnou cestu k přezkumu ve chvíli, kdy automatizovaný systém ohrozil příjem řidiče.

Proč francouzskou stížnost řešilo Nizozemsko

Stížnost vznikla ve Francii, ale případ převzal nizozemský úřad, protože evropské ústředí Uberu se nachází v Nizozemsku. GDPR u přeshraničních případů uplatňuje takzvaný mechanismus jednotného kontaktního místa: hlavní vyšetřování obvykle vede dozorový úřad v zemi, kde má firma své hlavní evropské provozní sídlo, zatímco úřady dalších dotčených zemí se mohou účastnit.

Tento systém má zabránit tomu, aby nadnárodní společnost čelila samostatnému hlavnímu vyšetřování v každé zemi, kde její postupy dopadají na lidi. Zároveň vysvětluje, proč mohla francouzská stížnost řidičů skončit rozhodnutím nizozemského regulátora.

Jak Uber reagoval

Uber označil rozhodnutí i pokutu za nepřiměřené a uvedl, že se odvolá. Společnost tvrdí, že řidičům nabízí lidské přezkoumání i možnost pozastavení účtu napadnout. Podle Uberu byla suspendování kvůli podezření na podvod dočasná a účty nebyly trvale deaktivovány výhradně automatizací.

Uber také uvedl, že dnes už nepřijímá rozhodnutí o trvalé deaktivaci pouze na základě automatizovaných systémů. Jde o stanovisko společnosti; pokuta se týká postupů posuzovaných za příslušné období, především v letech 2020 až 2022.

Co případ znamená pro algoritmické řízení práce

Rozhodnutí ukazuje, proč se algoritmické řízení pracovníků v Evropě stává významným tématem ochrany soukromí i pracovních práv. Systémy, které Uber používal, nerozhodovaly jen o pořadí nabídek nebo o běžném zákaznickém servisu. Mohly určovat, zda si pracovník zachová přístup k platformě, která mu zajišťuje příjem.

Pro firmy z toho plyne širší poučení: samotná formulace o „lidském přezkumu“ pravděpodobně nestačí, pokud kontrolující pracovníci nemohou samostatně posoudit důkazy, vyslechnout dotčeného člověka a automatické rozhodnutí zvrátit. Společnosti využívající automatizaci při nástupu pracovníků, odhalování podvodů, omezování účtů nebo jejich deaktivaci musí řešit transparentnost a možnost námitky právě v okamžiku, kdy systém ovlivňuje něčí schopnost vydělávat.

Případ zároveň zapadá do širší historie vymáhání GDPR vůči velkým americkým technologickým firmám působícím v Evropě. Pokuta 1,2 miliardy eur pro Metu se týkala přenosu údajů evropských uživatelů Facebooku do Spojených států, nikoli řízení pracovníků. Uber pak v roce 2024 dostal od nizozemského úřadu samostatnou pokutu 290 milionů eur za přenos osobních údajů evropských řidičů do USA.

Částka 825 milionů eur zatím není definitivní, protože Uber se chce odvolat. Základní poselství případu je však zřetelné: podle GDPR se automatizované řízení nesmí stát černou skříňkou ve chvíli, kdy jeho rozhodnutí může člověku vzít možnost pracovat.