Pokuta 825 milionů eur pro Uber není reakcí na únik dat. Nizozemský úřad pro ochranu osobních údajů, známý jako AP (Autoriteit Persoonsgegevens), dospěl k závěru, že Uber pomocí automatizovaných systémů suspendoval nebo deaktivoval účty evropských řidičů, aniž je dostatečně informoval o používání automatického rozhodování a poskytl jim smysluplnou možnost lidského přezkumu či účinného napadení rozhodnutí. Rozhodnutí se týká jednání z let 2020 až 2022.
1
3
6
Co pokutu vyvolalo
Jádrem případu bylo používání softwaru, který rozhodoval o přístupu řidičů k práci prostřednictvím platformy Uber. Podle zpráv o rozhodnutí AP systém zasahoval proti řidičům podezřelým z podvodů i proti těm, kteří měli nízké hodnocení od zákazníků.
2
4
Mezi sledované signály měly patřit například neobvykle dlouhé jízdy. Ty mohly naznačovat zbytečné objížďky, jejichž cílem bylo zvýšit jízdné, nebo případy, kdy řidič přijal jízdu, ale údajně ji neměl v úmyslu dokončit. Dostupné zprávy popisují tyto scénáře jako příklady chování, které se systém snažil odhalit. Samy o sobě však nepotvrzují, že se takového jednání dopustil každý označený řidič.
4
17
19
Pro regulátora proto nebyl problém jen v tom, jaké chování Uber vyhodnocoval, ale také v samotném procesu. Suspendování nebo deaktivace účtu může řidiči výrazně omezit možnost vydělávat si. AP uvedl, že řidiči nebyli řádně informováni o automatickém rozhodování a neměli k dispozici dostatečný lidský dohled ani účinnou cestu, jak výsledek zpochybnit.
3
5
6
Proč je případ podle GDPR tak významný
Obecné nařízení o ochraně osobních údajů, známé jako GDPR, omezuje rozhodování založené výhradně na automatizovaném zpracování osobních údajů, pokud má právní nebo podobně významné dopady na člověka. V situacích, na které se tato ochrana vztahuje, patří mezi důležité záruky skutečný lidský zásah a možnost rozhodnutí napadnout.
3
4
Právní význam případu Uberu tedy nespočívá pouze v otázce, zda smí software vyhledávat podezřelou aktivitu. Jde především o to, zda může platforma nechat automatizovaný proces rozhodnout, že člověk přijde o přístup k práci, aniž by mu jasně vysvětlila důvod, zajistila skutečný lidský přezkum a nabídla praktickou možnost požádat o nové posouzení.
Pokuta by byla druhou nejvyšší sankcí uloženou podle GDPR. Vyšší je pouze pokuta 1,2 miliardy eur, kterou v roce 2023 dostala společnost Meta od irského dozorového úřadu kvůli přenosu údajů evropských uživatelů Facebooku do Spojených států. Jde přitom o odlišná údajná porušení pravidel; obě kauzy však ukazují rozsah evropského vymáhání předpisů na ochranu osobních údajů.
3
6
14
Jak Uber rozhodnutí zpochybňuje
Uber se závěry AP nesouhlasí a pokutu označil za nepřiměřenou. Tvrdí, že jeho systémy byly v souladu se zákonem a že podléhaly lidskému dohledu, takže nešlo o zcela automatizovaná rozhodnutí. To je v přímém rozporu s popisem procesu ze strany regulátora.
6
7
Společnost také argumentuje tím, že kvůli nízkému hodnocení bylo v Evropě v roce 2021 deaktivováno pouze 126 řidičů, jak uvedla agentura Reuters. Tento údaj je třeba chápat jako argument Uberu o rozsahu případu, nikoli jako nezávisle potvrzené zjištění dostupných podkladů.
8
9
Případný odvolací proces tak bude řešit především dvě otázky: jak velkou roli lidé při konkrétních rozhodnutích skutečně měli a zda tato role splňovala standard skutečně smysluplného přezkumu podle GDPR. Z dostupných zpráv nelze předjímat, jak soud nebo odvolací orgán tyto otázky vyhodnotí.
Proč případ řešil právě nizozemský úřad
Případ začal stížnostmi řidičů, včetně stížnosti z Francie, ale vyšetřoval jej nizozemský úřad AP. Zprávy kauzu popisují jako přeshraniční případ podle GDPR, který se týkal evropských operací Uberu.
17
20
Dostupné podklady neposkytují dostatek informací k jednoznačnému vysvětlení, proč se vedoucím úřadem stalo právě Nizozemsko. Není proto bezpečné zužovat otázku příslušnosti na jediné neověřené vysvětlení. Jisté je, že AP vyšetřoval evropská rozhodnutí o účtech řidičů a uložil pokutu za období 2020 až 2022.
1
3
20
Co bude následovat
Uber oznámil, že se proti rozhodnutí odvolá. Částka 825 milionů eur proto nemusí být konečná a není jisté, že ji firma nakonec zaplatí v této výši.
6
7
9
Dotčení řidiči by mohli požadovat náhradu škody, pokud prokážou porušení GDPR, přímou souvislost mezi tímto porušením a suspendováním či deaktivací účtu a konkrétní finanční újmu. Dostupné informace nepotvrzují, že by už byla nějaká náhrada přiznána, ani že budoucí žaloby uspějí.
Širší poučení je užší — a zároveň důležitější — než samotná titulní částka: platformy mohou používat automatizované nástroje k odhalování podezřelého chování, ale rozhodnutí, která citelně zasahují do možnosti člověka vydělávat si, vyžadují transparentnost a ochranné mechanismy, které lze skutečně využít. Odvolání Uberu ukáže, jak se tyto požadavky uplatní v situaci, kdy firma tvrdí, že rizika vyhodnocují algoritmy, ale do procesu podle ní vstupují i lidé.