Uber får milliardbøde for automatiske beslutninger om chauffører

Det hollandske datatilsyn, Autoriteit Persoonsgegevens (AP), har idømt Uber en bøde på 825 millioner euro – omkring 966 millioner dollar – for brud på EU’s databeskyttelsesforordning, GDPR. Sagen handler om automatiserede beslutninger, der påvirkede europæiske chaufførers adgang til platformen mellem 2020 og 2022. 12

Ifølge AP informerede Uber ikke chaufførerne tilstrækkeligt om, hvornår automatiske systemer havde indflydelse på suspensioner eller deaktiveringer. Myndigheden fandt heller ikke, at der var tilstrækkelig menneskelig kontrol med beslutningerne. Uber afviser dele af afgørelsen og bødestørrelsen og har meddelt, at selskabet vil anke. 1

Hvad fandt det hollandske tilsyn?

Ifølge afgørelsen brugte Uber automatiske systemer til midlertidigt at suspendere chauffører, der var mistænkt for svindel. Andre chauffører kunne få deres konti permanent deaktiveret på grund af lave kundevurderinger. Systemerne kunne træffe eller udløse beslutningerne uden en meningsfuld menneskelig gennemgang, og de berørte chauffører fik ikke tilstrækkelig information om brugen af automatiserede afgørelser. 145

Det afgørende problem var ikke alene, at Uber brugte software til at opdage mulig svindel eller vurdere servicekvalitet. AP’s bekymring var, at den automatiserede behandling kunne afgøre, om en chauffør fortsat havde adgang til platformen – og dermed om personen kunne fortsætte med at tjene penge gennem Uber.

Blandt de signaler, der ifølge rapporteringen blev brugt i svindelkontrollen, var usædvanligt lange ture, som kunne tyde på unødvendige omveje, samt tilfælde hvor en chauffør accepterede ture, som vedkommende ikke havde til hensigt at gennemføre. 5

Hvorfor er det et alvorligt GDPR-spørgsmål?

GDPR begrænser beslutninger, der udelukkende bygger på automatiseret behandling, når de har juridiske virkninger eller på anden måde påvirker en person væsentligt. Det hollandske tilsyn beskriver dette som retten til, at et menneske ser på sagen, når en automatisk beslutning får alvorlige konsekvenser.

For en Uber-chauffør er tabet af adgang til platformen langt mere alvorligt end en almindelig ændring af en kontoindstilling. En midlertidig suspension kan afbryde indtægten, mens en permanent deaktivering kan forhindre chaufføren i overhovedet at arbejde via platformen. Det er denne påvirkning af levebrødet, der gjorde beslutningerne væsentlige i GDPR’s forstand – ikke blot rutinemæssige driftsbeslutninger. 45

Når en automatiseret beslutning er tilladt efter GDPR, skal der blandt andet være klare oplysninger om processen, mulighed for at bede om menneskelig indgriben og en reel mulighed for at gøre indsigelse mod resultatet.

Sådan begyndte sagen – og hvorfor blev den behandlet i Holland?

Sagen udsprang af klager fra franske chauffører. Den tidligere Uber-chauffør Brahim Ben Ali indsamlede beretninger fra omkring 170 berørte chauffører med hjælp fra den schweiziske digitalrettighedsorganisation PersonalData.io. Den tilgængelige rapportering omtaler 171 franske klagere. 413

Den hollandske AP stod for undersøgelsen, fordi Ubers relevante europæiske aktiviteter og den GDPR-retlige tilsynsordning var forankret i Holland. Det gjorde det muligt for den hollandske myndighed at behandle en grænseoverskridende sag, selv om chaufførerne befandt sig i Frankrig. 17

Forløbet viser samtidig, hvordan individuelle klager kan kaste lys over den måde, store algoritmiske systemer fungerer på. Chaufførerne bad om oplysninger om beslutninger, der påvirkede deres konti, og undersøgelsen kom derfor til at handle både om konkrete suspensioner og om selve opbygningen af Ubers automatiserede beslutningssystem. 13

Hvor stor er bøden?

Bøden på 825 millioner euro omtales som den næststørste sanktion, der hidtil er udstedt efter EU’s GDPR. Kun Metas bøde på 1,2 milliarder euro er større. 12

Den er også markant større end Ubers tidligere hollandske GDPR-bøde på 290 millioner euro. Den tidligere sag handlede om overførsel af europæiske chaufførers personoplysninger til USA – ikke om automatiserede beslutninger om kontoadgang.

Sag	Bøde	Hovedproblem
Ubers sag om automatiske chaufførbeslutninger	825 mio. euro	Automatiske suspensioner og deaktiveringer uden tilstrækkelig information eller menneskelig kontrol 12
Ubers tidligere GDPR-sag i Holland	290 mio. euro	Overførsel af europæiske chaufførers data til USA
Metas rekordbøde efter GDPR	1,2 mia. euro	Overførsel af Facebook-brugeres data til USA 110

Bøden er en myndighedssanktion. Den betyder ikke automatisk, at de enkelte chauffører får erstatning for tabt indtjening.

Kan chaufførerne få erstatning?

Digitalrettighedsorganisationer har set afgørelsen som et muligt grundlag for et kollektivt søgsmål om erstatning fra Uber. PersonalData.io har ifølge den citerede Reuters-rapport sagt, at organisationen forbereder et gruppesøgsmål. 13

Et sådant søgsmål vil være adskilt fra AP’s bøde. Chaufførerne skal fortsat dokumentere grundlaget for et eventuelt krav og omfanget af et individuelt eller kollektivt tab. Selve myndighedsbøden udløser ikke automatisk en udbetaling. 713

Hvad siger Uber?

Uber har sagt, at selskabet er stærkt uenig i afgørelsen og anser bøden for ude af proportioner. Virksomheden bestrider flere faktuelle konklusioner samt bødestørrelsen og vil anke. 13

Uber har desuden oplyst, at de omstridte procedurer blev udfaset i 2021-2022. Selskabet fastholder, at de nuværende processer omfatter menneskelig kontrol og klagemuligheder. Uber har også argumenteret for, at de fleste suspensioner er korte, og at permanente deaktiveringer ikke sker uden menneskelig indblanding. 17

Det er Ubers egen fremstilling, mens AP’s afgørelse vedrører den historiske praksis, som blev undersøgt. En anke kan derfor få betydning for, hvilke dele af afgørelsen og sanktionen der i sidste ende står ved magt.

Et vigtigt signal om algoritmisk ledelse

Sagen flytter fokus i databeskyttelsen ud over de velkendte spørgsmål om, hvordan personoplysninger indsamles og opbevares. Den viser, at GDPR også kan få betydning, når persondata og automatiseret profilering bruges til at styre adgangen til arbejde, indtjening eller økonomiske muligheder på en platform. 14

For teknologivirksomheder og platforme i den såkaldte gig-økonomi er læren, at systemer til svindelkontrol, kundevurderinger og håndhævelse af kontoregler ikke kan behandles som konsekvensfri automatisering. Virksomhederne skal kunne forklare, hvordan beslutningerne træffes, informere de berørte, tilbyde en reel menneskelig revurdering og give dem en effektiv mulighed for at anfægte negative afgørelser.

Den regulatoriske risiko er særlig tydelig, når software kan gøre en person midlertidigt – eller permanent – ude af stand til at tjene penge. I sådanne situationer er en formel kontrolprocedure ikke nødvendigvis nok. Den menneskelige indgriben skal reelt kunne undersøge afgørelsen og ændre den, hvis dokumentationen eller omstændighederne taler for det.