Miksi Uberille määrättiin 825 miljoonan euron GDPR-seuraamus automaattisista kuljettajasulkuista?

Uberille määrättiin 825 miljoonan euron seuraamusmaksu, koska yhtiön automaattiset järjestelmät saattoivat jäädyttää tai sulkea kuljettajien tilejä ilman riittävää tietoa päätösten perusteista ja ilman GDPR:n edellyttämiä suojakeinoja. Summa olisi Euroopan unionin yleisen tietosuoja-asetuksen eli GDPR:n toiseksi suurin seuraamusmaksu. Edelle sijoittuisi Irlannin vuonna 2023 Metalle määräämä 1,2 miljardin euron maksu. Uber aikoo valittaa päätöksestä, joten summa tai päätöksen lopputulos voi vielä muuttua.

Algoritmi saattoi vaikuttaa suoraan toimeentuloon

Alankomaiden tietosuojaviranomaisen (AP) arvio ei koskenut vain algoritmien käyttöä mahdollisten väärinkäytösten tunnistamiseen. Uberin järjestelmät saattoivat johtaa kuljettajan tilin jäädyttämiseen tai käytön estämiseen esimerkiksi silloin, kun kuljettajaa epäiltiin:

• hintahuijauksesta
• tarpeettomien kiertoreittien ajamisesta hinnan kasvattamiseksi
• hyväksytyn kyydin jättämisestä suorittamatta
• heikoista asiakasarvioista.

Seuraukset olivat merkittäviä, koska tilin rajoittaminen tai sulkeminen saattoi estää kuljettajaa hankkimasta tuloja Uber-alustalla.

GDPR:n automaattista päätöksentekoa koskevien sääntöjen mukaan henkilöä ei yleensä saa asettaa pelkästään automaattiseen käsittelyyn perustuvan, merkittävästi vaikuttavan päätöksen kohteeksi ilman asianmukaisia suojakeinoja. Niihin kuuluvat todellinen ihmisen tekemä puuttuminen päätökseen, mahdollisuus esittää oma näkemyksensä sekä oikeus riitauttaa ratkaisu.

AP:n johtopäätöksen mukaan Uberin menettely ei tarjonnut näitä oikeuksia riittävästi. Pelkkä ilmoitus algoritmin tekemän päätöksen jälkeen ei riitä, jos kuljettaja ei pysty ymmärtämään, mitä tapahtui, tai saamaan puolueetonta ja aitoa uudelleenarviointia.

Nimellinen ihmistarkastus ei riitä

Tapauksen keskeinen oikeudellinen kysymys on ero aidon ihmiskäsittelyn ja muodollisen hyväksynnän välillä. Tarkastajan pitää pystyä arvioimaan käytettävissä olevat tiedot itsenäisesti, kuulemaan kuljettajaa ja muuttamaan lopputulosta – ei vain vahvistamaan algoritmin antamaa tulosta.

Amsterdamin muutoksenhakutuomioistuin katsoi Uber-kuljettajia koskeneessa aiemmassa tapauksessa, että yhtiön kuvaamat ihmistarkastukset olivat lähinnä symbolisia. Tuomioistuin ei hyväksynyt niin sanottua ”human in the loop” -järjestelyä, jossa ihminen on mukana vain nimellisesti.

Aiempi ratkaisu auttaa ymmärtämään, miksi AP:n päätös on merkittävä. Ihmisen osallistumisen on voitava vaikuttaa lopputulokseen. Se ei saa jäädä menettelylliseksi muodollisuudeksi, joka jättää algoritmin päätöksen käytännössä koskemattomaksi. Lisäksi kuljettajalle on annettava riittävästi tietoa, jotta hän voi haastaa päätöksen mielekkäällä tavalla.

Kuljettajille ei kerrottu riittävästi automaatiosta

AP:n mukaan Uber ei tiedottanut asianmukaisesti siitä, että automaattisia prosesseja käytettiin kuljettajien tilien jäädyttämiseen tai sulkemiseen. Näin kuljettajien oli vaikea selvittää, miksi he menettivät pääsyn palveluun ja miten päätöksestä voisi valittaa.

Tapauksessa kietoutuvat yhteen kaksi ongelmaa:

• Päätöksenteko: automaattinen käsittely saattoi aiheuttaa merkittäviä seurauksia ilman riittävää ihmisen tekemää arviointia.
• Avoimuus: kuljettajille ei kerrottu tarpeeksi automaattisesta prosessista tai sen vaikutuksista.

Yrityksen on siis mahdollisesti kerrottava paitsi se, mitä kuljettajalle tapahtui, myös se, miten hän voi saada aidon tarkastelun tilanteessa, jossa automaattinen järjestelmä uhkaa hänen toimeentuloaan.

Miksi Ranskasta lähtöisin oleva asia käsiteltiin Alankomaissa?

Valitus sai alkunsa Ranskasta, mutta asian käsitteli Alankomaiden tietosuojaviranomainen, koska Uberin Euroopan-pääkonttori on Alankomaissa. GDPR:n rajat ylittäviä tapauksia koskevan yhden luukun menettelyn mukaan yrityksen pääasiallisen EU-sijoittautumismaan valvontaviranomainen toimii yleensä johtavana viranomaisena. Muiden asianomaisten maiden viranomaiset voivat osallistua tutkintaan.

Järjestelyn tarkoitus on estää sitä, että monikansallinen yritys joutuisi erillisten johtavien tutkintojen kohteeksi jokaisessa EU-maassa, jossa sen toiminnalla on vaikutuksia. Siksi Ranskassa tehty kuljettajien valitus saattoi johtaa Alankomaiden viranomaisen päätökseen.

Uber aikoo valittaa

Uber on kutsunut päätöstä ja seuraamusmaksua suhteettomiksi ja ilmoittanut valittavansa. Yhtiön mukaan kuljettajilla on käytössään ihmisen tekemä tarkastus ja oikeus riitauttaa tilin jäädyttäminen. Uber on myös sanonut, että petosepäilyihin perustuvat jäädytykset olivat väliaikaisia eikä tilejä suljettu pysyvästi pelkästään automaation perusteella.

Yhtiön mukaan se ei enää tee pysyviä tilien sulkemisia yksinomaan automaattisten järjestelmien perusteella. Nämä ovat Uberin omia näkemyksiä. AP:n seuraamus koskee päätöksessä tarkasteltua ajanjaksoa, pääasiassa vuosia 2020–2022.

Laajempi merkitys algoritmiselle työnjohdolle

Päätös osoittaa, miksi algoritminen työnjohto on Euroopassa yhä tärkeämpi tietosuoja- ja työelämäkysymys. Kyse ei ollut pelkästään mainosten suosittelusta tai asiakastietojen lajittelusta. Järjestelmät saattoivat ratkaista, säilyttääkö työntekijä pääsyn alustalle, josta hänen tulonsa riippuivat.

Tapauksesta seuraa yrityksille laajempi vaatimustaso: pelkkä ”ihminen mukana prosessissa” -linjaus ei todennäköisesti riitä, jos tarkastajilla ei ole mahdollisuutta tutkia tosiseikkoja itsenäisesti, kuulla asianomaista ja kumota automaattista päätöstä. Automaattisia järjestelmiä käyttävien yritysten on huomioitava avoimuus ja päätösten riitautettavuus erityisesti silloin, kun järjestelmät vaikuttavat työntekijän perehdytykseen, väärinkäytösepäilyihin, käyttöoikeuksiin tai tilin sulkemiseen.

Tapaus liittyy myös Uberin aiempaan GDPR-historiaan Alankomaissa. Vuonna 2024 Alankomaiden viranomainen määräsi Uberille erikseen 290 miljoonan euron seuraamusmaksun eurooppalaisten kuljettajien henkilötietojen siirtämisestä Yhdysvaltoihin. Metalle määrätty 1,2 miljardin euron seuraamus puolestaan koski eurooppalaisten Facebook-käyttäjien tietojen siirtoja Yhdysvaltoihin, ei työntekijöiden johtamista koskevia automaattisia päätöksiä.

825 miljoonan euron summa ei ole vielä lopullinen, koska Uber aikoo valittaa. Perusviesti on silti selvä: GDPR:n näkökulmasta algoritminen johtaminen ei saa muuttua mustaksi laatikoksi silloin, kun päätös voi viedä ihmiseltä mahdollisuuden tehdä työtä.