La multa de 825 millones a Uber por sus bloqueos automatizados, explicada

La Autoridad Neerlandesa de Protección de Datos (AP) ha multado a Uber con 825 millones de euros —aproximadamente 966 millones de dólares— por infracciones del Reglamento General de Protección de Datos (RGPD) relacionadas con decisiones automatizadas sobre conductores europeos entre 2020 y 2022. Según el regulador, Uber no informó adecuadamente a los conductores cuando sus sistemas automáticos influían en suspensiones o desactivaciones de cuentas, ni ofreció una supervisión humana suficiente. 12

Uber rechaza parte de las conclusiones y considera desproporcionada la cuantía de la sanción. La empresa ha anunciado que recurrirá la decisión. 1

Qué detectó el regulador neerlandés

Según la resolución de la AP, Uber utilizaba sistemas automatizados para suspender temporalmente a conductores sospechosos de fraude y para desactivar de forma permanente algunas cuentas cuando las valoraciones de los clientes eran bajas. Esos sistemas podían tomar o activar decisiones sin una revisión humana significativa, y los conductores afectados no recibían información suficiente sobre el uso de decisiones automatizadas. 145

El problema no era simplemente que Uber empleara software para detectar posibles fraudes o evaluar la calidad del servicio. La preocupación central era que ese tratamiento automatizado podía decidir si un conductor mantenía el acceso a la plataforma y, en consecuencia, si podía seguir obteniendo ingresos a través de ella.

Entre las señales que, según los informes, se utilizaban para detectar posibles fraudes estaban los trayectos inusualmente largos —que podían interpretarse como desvíos innecesarios— y aceptar viajes que el conductor no tenía intención de realizar. 5

Por qué el RGPD considera relevantes estas decisiones

El RGPD limita las decisiones basadas exclusivamente en tratamientos automatizados cuando producen efectos jurídicos o afectan de manera significativa a una persona. La autoridad neerlandesa describe esta protección como el derecho a que exista una perspectiva humana en las decisiones importantes.

Para un conductor de una plataforma, perder el acceso a Uber no equivale a que cambie una función menor de una cuenta. Una suspensión temporal puede interrumpir sus ingresos, mientras que una desactivación permanente puede impedirle trabajar a través de la aplicación. Ese impacto sobre su medio de vida llevó al regulador a considerar que no se trataba de simples medidas operativas, sino de decisiones significativas. 45

Cuando una decisión automatizada está permitida por el RGPD, deben existir salvaguardas como información clara sobre el proceso, la posibilidad de solicitar la intervención de una persona y una oportunidad real de impugnar el resultado.

Cómo comenzó el caso y por qué lo gestionó Países Bajos

El expediente se inició a raíz de las quejas de conductores franceses. El exconductor de Uber Brahim Ben Ali reunió testimonios de unos 170 afectados con la ayuda del grupo suizo de derechos digitales PersonalData.io. Los informes disponibles hablan de 171 denunciantes franceses. 413

La investigación quedó en manos de la AP porque las operaciones europeas relevantes de Uber y su estructura de supervisión principal en materia de protección de datos estaban radicadas en Países Bajos. Esto permitió a la autoridad neerlandesa actuar en un caso transfronterizo que afectaba a conductores de otro país europeo. 17

El episodio también muestra cómo las reclamaciones individuales pueden sacar a la luz el funcionamiento de sistemas algorítmicos a gran escala. Los conductores pidieron información sobre decisiones que afectaban a sus cuentas, y la investigación examinó no solo el resultado de suspensiones concretas, sino también la estructura del sistema automatizado de Uber. 13

Una de las mayores multas del RGPD

La sanción de 825 millones de euros es, según los informes, la segunda mayor multa impuesta hasta ahora en virtud del RGPD de la Unión Europea, solo por detrás de los 1.200 millones de euros impuestos a Meta. 12

También supera ampliamente la multa neerlandesa anterior de 290 millones de euros contra Uber. Aquel caso se refería a la transferencia de datos personales de conductores europeos a Estados Unidos, no a decisiones automatizadas sobre sus cuentas.

Caso	Multa	Problema principal
Caso de las decisiones automatizadas sobre conductores de Uber	825 millones de euros	Suspensiones y desactivaciones automáticas sin información ni supervisión humana suficientes 12
Caso anterior de Uber en Países Bajos	290 millones de euros	Transferencia de datos de conductores europeos a Estados Unidos
Multa récord del RGPD a Meta	1.200 millones de euros	Transferencia de datos de usuarios de Facebook a Estados Unidos 110

La multa es una sanción regulatoria. Por sí sola, no compensa automáticamente a los conductores por los ingresos que pudieran haber perdido.

¿Podrían los conductores recibir una indemnización?

Los defensores de los derechos digitales consideran que la resolución podría servir de base para una acción colectiva con la que reclamar compensaciones a Uber. PersonalData.io afirmó, según la información citada por Reuters, que estaba preparando una demanda colectiva. 13

Esa posible acción sería independiente de la multa impuesta por la AP. Los conductores aún tendrían que demostrar el fundamento y el alcance de cualquier reclamación individual o colectiva: la sanción administrativa no genera por sí sola un pago automático. 713

La respuesta de Uber y el recurso anunciado

Uber ha dicho que discrepa firmemente de la decisión y que considera desproporcionada la multa. La compañía cuestiona algunas conclusiones fácticas y la cuantía de la sanción, y planea recurrirla. 13

La empresa también sostiene que las políticas cuestionadas dejaron de utilizarse entre 2021 y 2022. Según Uber, sus procedimientos actuales incluyen revisión humana y vías de apelación; además, afirma que la mayoría de las suspensiones son breves y que las desactivaciones permanentes no se producen sin intervención de una persona. 17

Estas son las posiciones expresadas por Uber, mientras que las conclusiones de la AP se refieren a las prácticas históricas examinadas en la resolución. El recurso deberá determinar qué aspectos de los hechos y de la sanción terminan manteniéndose.

Qué implica para la gestión algorítmica

El caso lleva la aplicación de las normas de privacidad más allá de las preguntas habituales sobre cómo se recopilan o almacenan los datos. Muestra que el RGPD también puede intervenir cuando los datos personales y la elaboración automatizada de perfiles se utilizan para controlar el acceso al trabajo, a los ingresos o a oportunidades económicas dentro de una plataforma. 14

Para las empresas tecnológicas y de la economía de plataformas, la lección práctica es clara: los sistemas de detección de fraude, las valoraciones y las medidas disciplinarias sobre cuentas no pueden tratarse como automatizaciones sin consecuencias. Las compañías deben poder explicar cómo se toman las decisiones, informar a las personas afectadas, ofrecer una reconsideración humana auténtica y proporcionar una vía eficaz para impugnar los resultados negativos.

El riesgo regulatorio es especialmente evidente cuando un programa puede impedir temporal o permanentemente que una persona se gane la vida. En esos casos, una revisión humana meramente formal puede no ser suficiente: la persona encargada debe poder examinar la decisión y modificarla cuando las pruebas o las circunstancias lo justifiquen.