Uber, ante una multa histórica por suspender conductores mediante decisiones automatizadas

Las normas del RGPD sobre decisiones automatizadas establecen, en términos generales, que una persona no debe quedar sometida a una decisión basada exclusivamente en el tratamiento automatizado de sus datos cuando dicha decisión produce efectos significativos, salvo que existan garantías adecuadas. Entre ellas figuran una intervención humana real, la posibilidad de exponer el propio punto de vista y un mecanismo para impugnar la decisión.

La conclusión aparente del regulador fue que el procedimiento de Uber no ofrecía esas garantías de forma suficiente. Recibir una notificación después de que el algoritmo haya actuado no basta si el conductor no puede entender los motivos de la medida ni conseguir una revisión auténtica e independiente.

Por qué no bastaba con tener a una persona «en el circuito»

La diferencia clave está entre una persona que puede revisar las pruebas y reconsiderar el caso de forma independiente y otra que se limita a confirmar el resultado del sistema. En un procedimiento relacionado, el Tribunal de Apelación de Ámsterdam concluyó que las revisiones humanas alegadas por Uber eran meramente simbólicas y rechazó apoyarse en una intervención humana nominal.

Ese antecedente ayuda a entender la importancia jurídica de la actuación de la autoridad neerlandesa. La intervención humana debe poder cambiar el resultado; no puede ser un trámite que deje prácticamente intacta la decisión del algoritmo. Además, los conductores deben recibir información suficiente para poder cuestionar la medida de manera efectiva.

Qué información no habrían recibido los conductores

Según la información publicada a partir de la decisión del regulador, Uber no informó adecuadamente a los conductores afectados de que se estaban utilizando procesos automatizados para suspender o desactivar sus cuentas. Esa falta de información era relevante porque les impedía comprender por qué habían perdido el acceso a la plataforma y cómo podían impugnar la decisión de fondo.

El caso plantea, por tanto, dos problemas de cumplimiento relacionados:

• El problema de la decisión: el tratamiento automatizado podía producir consecuencias importantes sin una intervención humana adecuada.
• El problema de la transparencia: los conductores no habrían sido informados suficientemente sobre el proceso automatizado ni sobre sus efectos.

La cuestión no se refiere solo al resultado, sino también al procedimiento. Una empresa debe explicar no únicamente qué medida ha adoptado, sino también cómo puede una persona obtener una revisión real cuando un sistema automatizado amenaza su fuente de ingresos.

Por qué intervino el regulador neerlandés en una denuncia presentada en Francia

La denuncia se originó en Francia, pero el expediente transfronterizo fue gestionado por la Autoridad Neerlandesa de Protección de Datos —conocida como AP— porque Uber tiene en Países Bajos su sede europea. Según el mecanismo de «ventanilla única» del RGPD, la autoridad de protección de datos del país donde una empresa tiene su principal establecimiento en la Unión Europea suele asumir el liderazgo en los casos transfronterizos, mientras que las autoridades de otros países afectados pueden participar.

El objetivo es evitar que una multinacional se enfrente a investigaciones principales completamente separadas en cada Estado miembro donde sus prácticas tienen efectos. Este sistema explica que una denuncia presentada por conductores franceses terminara dando lugar a una decisión de la autoridad neerlandesa.

La respuesta de Uber

Uber ha dicho que recurrirá la decisión y considera desproporcionados tanto el fallo como la cuantía de la multa. La compañía sostiene que ofrece revisiones humanas y el derecho a impugnar las suspensiones. También afirma que las suspensiones por sospechas de fraude eran temporales y niega que las cuentas se desactivaran de forma permanente únicamente mediante automatización.

La empresa ha añadido que ya no toma decisiones de desactivación permanente basándose solo en sistemas automatizados. Estas afirmaciones reflejan la posición de Uber; la sanción se refiere a las prácticas examinadas durante el periodo relevante, principalmente entre 2020 y 2022.

Qué significa el caso para la gestión algorítmica

La decisión muestra por qué la gestión algorítmica se está convirtiendo en un asunto central de privacidad y empleo en Europa. Los sistemas analizados no se limitaban a recomendar anuncios o clasificar datos rutinarios de clientes: podían determinar si una persona conservaba el acceso a una plataforma de la que dependían sus ingresos.

La lección de cumplimiento es amplia. Una política que prometa «revisión humana» probablemente no será suficiente si quienes revisan el caso no pueden examinar las pruebas de forma independiente, escuchar la explicación de la persona afectada y anular el resultado automatizado. Las empresas que emplean sistemas automáticos para incorporar trabajadores, detectar fraude, restringir cuentas o desactivar perfiles deben tener en cuenta la transparencia y la posibilidad efectiva de impugnación justo cuando esas herramientas empiezan a afectar al sustento de alguien.

El expediente se suma además al historial de Uber en materia de RGPD en Países Bajos. En 2024, la autoridad neerlandesa impuso a la empresa otra multa, de 290 millones de euros, por transferir a Estados Unidos datos personales de conductores europeos sin las garantías adecuadas. La sanción de 1.200 millones de euros contra Meta, por su parte, estuvo relacionada con la transferencia a Estados Unidos de datos de usuarios europeos de Facebook, no con decisiones de gestión sobre trabajadores.

Por ahora, los 825 millones de euros siguen sujetos al recurso de Uber. Pero el mensaje de fondo ya es claro: bajo el RGPD, la gestión automatizada no puede convertirse en una caja negra cuando sus decisiones pueden dejar a una persona sin posibilidad de trabajar.