Ubers bøde på 825 millioner euro handler ikke om et datalæk. Den hollandske datatilsynsmyndighed, Autoriteit Persoonsgegevens (AP), mener, at Uber brugte automatiserede systemer til at suspendere eller deaktivere europæiske chaufførers konti uden at fortælle dem ordentligt, at automatiske afgørelser var involveret. Chaufførerne fik ifølge myndigheden heller ikke en meningsfuld mulighed for at få et menneske til at gennemgå afgørelsen eller for at gøre indsigelse. Afgørelsen omfatter forhold fra 2020 til 2022.
1
3
6
Hvad udløste bøden?
Sagen handler om software, der traf beslutninger med direkte betydning for chaufførernes mulighed for at arbejde på platformen. Ifølge omtalen af AP’s afgørelse blev systemerne brugt mod chauffører, der var mistænkt for svindel, samt mod chauffører med lave kundevurderinger.
2
4
Blandt de eksempler på mistænkelig adfærd, som systemerne skulle opdage, var usædvanligt lange ture. Det kunne ifølge mistanken tyde på unødvendige omveje, der skulle få passageren til at betale mere. Et andet eksempel var chauffører, der accepterede ture, som de angiveligt ikke havde til hensigt at gennemføre. De tilgængelige kilder dokumenterer, at det var typer af adfærd, Uber forsøgte at identificere – men de viser ikke uafhængigt, at alle chauffører, der blev markeret, faktisk havde begået de pågældende handlinger.
4
17
19
Tilsynets kritik handler derfor både om selve afgørelserne og om processen bag dem. En suspension eller deaktivering kan have stor betydning for en chaufførs indkomst. AP har sagt, at chaufførerne ikke blev informeret korrekt om den automatiske beslutningstagning, og at der ikke var tilstrækkelig menneskelig involvering eller en effektiv vej til at få afgørelsen prøvet.
3
5
6
GDPR: Vigtige afgørelser må ikke forsvinde ind i en algoritme
GDPR begrænser afgørelser, der udelukkende bygger på automatisk behandling, når de har juridiske eller tilsvarende væsentlige konsekvenser for en person. I situationer, hvor disse regler gælder, kan beskyttelsen blandt andet kræve reel menneskelig indgriben og mulighed for at bestride afgørelsen.
3
4
Det er den centrale juridiske betydning af Uber-sagen. Spørgsmålet er ikke blot, om software må identificere mulig misbrug. Det handler om, hvorvidt en platform kan lade en automatiseret proces afgøre, at en chauffør mister adgangen til sit arbejde, uden klar information, reel menneskelig kontrol og en praktisk mulighed for at få sagen genovervejet.
Bøden vil være den næststørste, der hidtil er udstedt under GDPR, kun overgået af Irlands bøde på 1,2 milliarder euro til Meta i 2023. Metas sag handlede om overførsel af europæiske Facebook-brugeres data til USA. Der er derfor tale om forskellige påståede overtrædelser, selv om begge sager viser rækkevidden af den europæiske håndhævelse af databeskyttelsesreglerne.
3
6
14
Hvad siger Uber?
Uber afviser AP’s konklusioner og har kaldt bøden ude af proportioner. Virksomheden fastholder, at systemerne var lovlige, og at de var underlagt menneskeligt tilsyn i stedet for at være fuldstændig automatiserede. Det står i direkte modsætning til tilsynets beskrivelse af suspenderings- og deaktiveringsprocessen.
6
7
Uber har også fremhævet, at relativt få chauffører blev deaktiveret på grund af lave kundevurderinger. Reuters har gengivet virksomhedens oplysning om, at 126 europæiske chauffører blev deaktiveret af denne grund i 2021. Tallet bør forstås som Ubers argument om sagens omfang – ikke som et selvstændigt fastslået faktum i det tilgængelige kildemateriale.
8
9
En eventuel anke vil derfor blandt andet skulle afklare, hvor meget menneskelig involvering der faktisk fandt sted i de relevante afgørelser, og om den levede op til GDPR’s krav om en meningsfuld kontrol. Det tilgængelige materiale viser ikke, hvordan en domstol eller klageinstans vil afgøre spørgsmålet.
Hvorfor behandlede de hollandske myndigheder en sag om chauffører i hele Europa?
Sagen begyndte med klager fra chauffører, blandt andet en klage fra Frankrig, men blev behandlet af det hollandske AP. Kilderne beskriver den som en grænseoverskridende GDPR-sag, der vedrører Ubers europæiske aktiviteter.
17
20
Det tilgængelige kildemateriale giver ikke nok detaljer til med sikkerhed at fastslå, hvorfor Nederlandene blev den ledende tilsynsmyndighed. Det er derfor mest forsigtigt ikke at reducere spørgsmålet om myndighedens kompetence til én ubekræftet forklaring. Det står klart, at AP undersøgte de europæiske kontobeslutninger og udstedte bøden for perioden 2020-2022.
1
3
20
Hvad sker der nu?
Uber har sagt, at selskabet vil anke afgørelsen. Det betyder, at bøden på 825 millioner euro ikke nødvendigvis er den endelige sanktion eller det beløb, virksomheden ender med at betale.
6
7
9
Berørte chauffører kan også forsøge at kræve erstatning, hvis de kan dokumentere en ulovlig overtrædelse af GDPR, en forbindelse mellem overtrædelsen og deres suspension eller deaktivering samt et konkret økonomisk tab. De tilgængelige oplysninger viser ikke, at der allerede er tilkendt erstatning, og de fastslår heller ikke, at fremtidige krav vil føre til betaling.
Den bredere pointe er mere præcis – og potentielt mere vidtrækkende – end selve overskriften om en milliardbøde: Platforme må gerne bruge automatiserede systemer til at opdage mistænkelig adfærd, men afgørelser, der mærkbart påvirker et menneskes levebrød, kræver gennemsigtighed og sikkerhedsforanstaltninger, som faktisk kan bruges. Ubers anke kan blive en vigtig prøve på, hvordan disse krav skal forstås, når en virksomhed siger, at algoritmerne identificerer risikoen, men at mennesker stadig er involveret et sted i processen.