Derfor risikerer Uber en GDPR-bøde på 825 millioner euro

AP's vurdering synes at være, at Ubers proces ikke gav chaufførerne disse rettigheder i tilstrækkelig grad. Det er ikke nok at sende en besked efter en algoritmisk afgørelse, hvis chaufføren hverken kan forstå, hvad der skete, eller få sagen vurderet på ny af en person, der reelt kan ændre resultatet.

Hvorfor et menneske i processen ikke nødvendigvis er nok

Den afgørende forskel går mellem en uafhængig menneskelig vurdering og en medarbejder, der blot bekræfter algoritmens resultat. I en relateret sag fastslog Amsterdams appeldomstol, at Ubers påståede menneskelige kontrol i praksis var symbolsk. Domstolen afviste derfor, at en formel såkaldt ”human in the loop” var tilstrækkelig.

Den tidligere afgørelse er med til at forklare den juridiske betydning af AP's sag. Menneskelig involvering skal kunne påvirke udfaldet. Den må ikke blot være et proceduremæssigt alibi, der efterlader algoritmens afgørelse urørt. Chaufførerne skal også have nok information om afgørelsen til at kunne anfægte den på en meningsfuld måde.

Hvad chaufførerne angiveligt ikke fik at vide

Ifølge oplysninger baseret på tilsynets afgørelse informerede Uber ikke de berørte chauffører tilstrækkeligt om, at automatiske processer blev brugt til at suspendere eller deaktivere deres konti. Det var væsentligt, fordi chaufførerne dermed havde svært ved at forstå, hvorfor de mistede adgangen, og hvordan de kunne gøre indsigelse mod den bagvedliggende afgørelse.

Det peger på to forbundne problemer:

• Afgørelsesproblemet: Automatiseret behandling kunne få store konsekvenser uden tilstrækkelig menneskelig indgriben.
• Gennemsigtighedsproblemet: Chaufførerne blev ikke informeret godt nok om den automatiske proces eller dens konsekvenser for dem.

Sagen handler derfor både om selve resultatet og om vejen frem til resultatet. En virksomhed skal muligvis ikke kun forklare, hvilken handling den har truffet, men også vise, hvordan den berørte person kan få en reel vurdering, når et automatisk system truer vedkommendes indkomst.

Hvorfor behandlede Nederlandene en fransk klage?

Klagen kom oprindeligt fra Frankrig, men den nederlandske AP behandlede den grænseoverskridende sag, fordi Uber har sit europæiske hovedkvarter i Nederlandene. Efter GDPR's såkaldte one-stop-shop-ordning er tilsynsmyndigheden i det land, hvor en virksomhed har sit vigtigste EU-etableringssted, som udgangspunkt den ledende myndighed i grænseoverskridende sager. Andre relevante nationale myndigheder kan samtidig deltage.

Ordningen skal forhindre, at en multinational virksomhed mødes af helt separate ledende undersøgelser i hvert EU-land, hvor dens praksis har konsekvenser. Den forklarer også, hvordan en klage fra franske chauffører kan ende med en afgørelse fra det nederlandske datatilsyn.

Ubers svar: Vil anke og afviser permanente automatiske deaktiveringer

Uber har sagt, at virksomheden vil anke afgørelsen og betegnet både beslutningen og bøden som ude af proportioner. Selskabet fastholder, at chauffører har adgang til menneskelig vurdering og mulighed for at gøre indsigelse mod suspenderinger. Uber har også sagt, at suspenderinger på grund af mistænkt svindel var midlertidige, og afviser, at konti blev deaktiveret permanent alene på baggrund af automatiske systemer.

Uber har desuden oplyst, at virksomheden ikke længere træffer permanente deaktiveringsafgørelser udelukkende ved hjælp af automatiserede systemer. Det er Ubers egen beskrivelse af praksis. AP's bøde vedrører de forhold, der blev undersøgt i den relevante periode, primært fra 2020 til 2022.

Et større spørgsmål om algoritmisk ledelse

Afgørelsen viser, hvorfor algoritmisk ledelse er blevet et centralt spørgsmål inden for både databeskyttelse og arbejdsliv i Europa. Systemerne skulle ikke blot målrette reklamer eller sortere rutinemæssige kundedata. De kunne være afgørende for, om en person fortsat havde adgang til en platform, der udgjorde grundlaget for vedkommendes indkomst.

Den bredere lektie for virksomheder er, at en politik om ”menneskelig kontrol” næppe er nok, hvis medarbejderne ikke selvstændigt kan gennemgå fakta, høre den berørte persons forklaring og omgøre en automatisk afgørelse. Virksomheder, der bruger automatiske systemer til eksempelvis onboarding, svindelkontrol, kontobegrænsninger eller deaktivering, bør derfor forholde sig til gennemsigtighed og muligheden for at anfægte afgørelser, netop når systemerne påvirker en persons mulighed for at arbejde.

Sagen føjer sig også til Ubers øvrige GDPR-historik i Nederlandene. I 2024 gav det nederlandske datatilsyn separat Uber en bøde på 290 millioner euro for at overføre europæiske chaufførers personoplysninger til USA. Metas bøde på 1,2 milliarder euro handlede derimod om overførsel af data om europæiske Facebook-brugere til USA – ikke om ledelse af chauffører.

Beløbet på 825 millioner euro er foreløbig ikke endeligt, fordi Uber vil anke. Men budskabet i sagen står allerede klart: Efter GDPR må algoritmisk ledelse ikke blive en sort boks, når afgørelserne kan fratage mennesker deres mulighed for at arbejde.