Proč Uber dostal pokutu 825 milionů eur za automatické blokování řidičů

Pokuta 825 milionů eur pro Uber není reakcí na únik dat. Nizozemský úřad pro ochranu osobních údajů, známý jako AP (Autoriteit Persoonsgegevens), dospěl k závěru, že Uber pomocí automatizovaných systémů suspendoval nebo deaktivoval účty evropských řidičů, aniž je dostatečně informoval o používání automatického rozhodování a poskytl jim smysluplnou možnost lidského přezkumu či účinného napadení rozhodnutí. Rozhodnutí se týká jednání z let 2020 až 2022. 136

Co pokutu vyvolalo

Jádrem případu bylo používání softwaru, který rozhodoval o přístupu řidičů k práci prostřednictvím platformy Uber. Podle zpráv o rozhodnutí AP systém zasahoval proti řidičům podezřelým z podvodů i proti těm, kteří měli nízké hodnocení od zákazníků. 24

Mezi sledované signály měly patřit například neobvykle dlouhé jízdy. Ty mohly naznačovat zbytečné objížďky, jejichž cílem bylo zvýšit jízdné, nebo případy, kdy řidič přijal jízdu, ale údajně ji neměl v úmyslu dokončit. Dostupné zprávy popisují tyto scénáře jako příklady chování, které se systém snažil odhalit. Samy o sobě však nepotvrzují, že se takového jednání dopustil každý označený řidič. 41719

Pro regulátora proto nebyl problém jen v tom, jaké chování Uber vyhodnocoval, ale také v samotném procesu. Suspendování nebo deaktivace účtu může řidiči výrazně omezit možnost vydělávat si. AP uvedl, že řidiči nebyli řádně informováni o automatickém rozhodování a neměli k dispozici dostatečný lidský dohled ani účinnou cestu, jak výsledek zpochybnit. 356

Proč je případ podle GDPR tak významný

Obecné nařízení o ochraně osobních údajů, známé jako GDPR, omezuje rozhodování založené výhradně na automatizovaném zpracování osobních údajů, pokud má právní nebo podobně významné dopady na člověka. V situacích, na které se tato ochrana vztahuje, patří mezi důležité záruky skutečný lidský zásah a možnost rozhodnutí napadnout. 34

Právní význam případu Uberu tedy nespočívá pouze v otázce, zda smí software vyhledávat podezřelou aktivitu. Jde především o to, zda může platforma nechat automatizovaný proces rozhodnout, že člověk přijde o přístup k práci, aniž by mu jasně vysvětlila důvod, zajistila skutečný lidský přezkum a nabídla praktickou možnost požádat o nové posouzení.

Pokuta by byla druhou nejvyšší sankcí uloženou podle GDPR. Vyšší je pouze pokuta 1,2 miliardy eur, kterou v roce 2023 dostala společnost Meta od irského dozorového úřadu kvůli přenosu údajů evropských uživatelů Facebooku do Spojených států. Jde přitom o odlišná údajná porušení pravidel; obě kauzy však ukazují rozsah evropského vymáhání předpisů na ochranu osobních údajů. 3614

Jak Uber rozhodnutí zpochybňuje

Uber se závěry AP nesouhlasí a pokutu označil za nepřiměřenou. Tvrdí, že jeho systémy byly v souladu se zákonem a že podléhaly lidskému dohledu, takže nešlo o zcela automatizovaná rozhodnutí. To je v přímém rozporu s popisem procesu ze strany regulátora. 67

Společnost také argumentuje tím, že kvůli nízkému hodnocení bylo v Evropě v roce 2021 deaktivováno pouze 126 řidičů, jak uvedla agentura Reuters. Tento údaj je třeba chápat jako argument Uberu o rozsahu případu, nikoli jako nezávisle potvrzené zjištění dostupných podkladů. 89

Případný odvolací proces tak bude řešit především dvě otázky: jak velkou roli lidé při konkrétních rozhodnutích skutečně měli a zda tato role splňovala standard skutečně smysluplného přezkumu podle GDPR. Z dostupných zpráv nelze předjímat, jak soud nebo odvolací orgán tyto otázky vyhodnotí.

Proč případ řešil právě nizozemský úřad

Případ začal stížnostmi řidičů, včetně stížnosti z Francie, ale vyšetřoval jej nizozemský úřad AP. Zprávy kauzu popisují jako přeshraniční případ podle GDPR, který se týkal evropských operací Uberu. 1720

Dostupné podklady neposkytují dostatek informací k jednoznačnému vysvětlení, proč se vedoucím úřadem stalo právě Nizozemsko. Není proto bezpečné zužovat otázku příslušnosti na jediné neověřené vysvětlení. Jisté je, že AP vyšetřoval evropská rozhodnutí o účtech řidičů a uložil pokutu za období 2020 až 2022. 1320

Co bude následovat

Uber oznámil, že se proti rozhodnutí odvolá. Částka 825 milionů eur proto nemusí být konečná a není jisté, že ji firma nakonec zaplatí v této výši. 679

Dotčení řidiči by mohli požadovat náhradu škody, pokud prokážou porušení GDPR, přímou souvislost mezi tímto porušením a suspendováním či deaktivací účtu a konkrétní finanční újmu. Dostupné informace nepotvrzují, že by už byla nějaká náhrada přiznána, ani že budoucí žaloby uspějí.

Širší poučení je užší — a zároveň důležitější — než samotná titulní částka: platformy mohou používat automatizované nástroje k odhalování podezřelého chování, ale rozhodnutí, která citelně zasahují do možnosti člověka vydělávat si, vyžadují transparentnost a ochranné mechanismy, které lze skutečně využít. Odvolání Uberu ukáže, jak se tyto požadavky uplatní v situaci, kdy firma tvrdí, že rizika vyhodnocují algoritmy, ale do procesu podle ní vstupují i lidé.