Uberin 825 miljoonan euron GDPR-sakko selitettynä

Alankomaiden tietosuojaviranomainen (Autoriteit Persoonsgegevens, AP) määräsi Uberille 825 miljoonan euron – noin 966 miljoonan dollarin – GDPR-sakon. Päätös liittyy eurooppalaisten kuljettajien tileihin vuosina 2020–2022 vaikuttaneisiin automatisoituihin päätöksiin. Viranomaisen mukaan Uber ei kertonut kuljettajille riittävästi siitä, milloin automaattiset järjestelmät vaikuttivat tilien keskeyttämiseen tai sulkemiseen, eikä tarjonnut riittävää ihmisen tekemää valvontaa. 12

Uber kiistää osan päätöksen perusteluista ja pitää sakkoa liian suurena. Yhtiö aikoo valittaa päätöksestä. 1

Mitä Alankomaiden viranomainen havaitsi?

AP:n päätöksen mukaan Uber käytti automaattisia järjestelmiä kuljettajien väliaikaiseen keskeyttämiseen, jos heitä epäiltiin petoksesta. Joidenkin kuljettajien tilit voitiin sulkea pysyvästi myös matalien asiakasarvioiden perusteella. Päätösten taustalla saattoi olla automaattinen järjestelmä ilman merkityksellistä ihmisen tekemää tarkistusta, eikä kuljettajille kerrottu riittävästi automaattisen päätöksenteon käytöstä. 145

Kyse ei ollut yksinkertaisesti siitä, että Uber käytti ohjelmistoja mahdollisten petosten tunnistamiseen tai palvelun laadun arviointiin. Viranomaisen huoli koski sitä, että automaattinen käsittely saattoi ratkaista, pääseekö kuljettaja edelleen alustalle – ja voiko hän siten jatkaa ansaitsemista sen kautta.

Petosten tunnistamiseen käytettyihin signaaleihin kuuluivat tiettävästi esimerkiksi poikkeuksellisen pitkät matkat, jotka saattoivat viitata tarpeettomiin kiertoteihin, sekä matkojen hyväksyminen tilanteissa, joissa kuljettaja ei aikonut ottaa niitä vastaan. 5

Miksi päätökset olivat GDPR:n näkökulmasta merkittäviä?

GDPR rajoittaa päätöksiä, jotka perustuvat yksinomaan automaattiseen käsittelyyn ja joilla on henkilöön oikeudellisia tai muuten merkittäviä vaikutuksia. Alankomaiden viranomainen kuvaa tätä oikeudeksi ihmisen tekemään arvioon vakavissa päätöksissä.

Uber-alustan käyttöoikeuden menettäminen on kuljettajalle paljon vakavampaa kuin tavallisen käyttäjätilin ominaisuuden muuttuminen. Väliaikainen keskeytys voi katkaista tulot hetkeksi, kun taas pysyvä sulkeminen voi estää työskentelyn alustan kautta kokonaan. Juuri vaikutus toimeentuloon teki päätöksistä viranomaisen näkökulmasta merkittäviä, ei vain tavanomaisia operatiivisia toimenpiteitä. 45

Jos automatisoitu päätös on GDPR:n nojalla sallittu, siihen liittyviin suojatoimiin voivat kuulua selkeä tieto päätöksentekoprosessista, mahdollisuus pyytää ihmisen puuttumista asiaan sekä todellinen tilaisuus riitauttaa lopputulos.

Mistä valitus sai alkunsa – ja miksi asia käsiteltiin Alankomaissa?

Tapaus alkoi ranskalaisten kuljettajien valituksista. Uberin entinen kuljettaja Brahim Ben Ali keräsi kertomuksia noin 170 kuljettajalta, joita päätökset koskivat. Työtä tuki sveitsiläinen digitaalisia oikeuksia puolustava PersonalData.io-järjestö. Saatavilla olevissa uutisissa mainitaan 171 ranskalaista valittajaa. 413

Asian käsitteli Alankomaiden AP, koska Uberin asiaankuuluva Euroopan toiminta ja GDPR:n mukainen valvontajärjestely olivat Alankomaissa. Tämä mahdollisti alankomaalaisen viranomaisen toiminnan rajat ylittävässä tapauksessa, joka koski toisessa Euroopan maassa työskenteleviä kuljettajia. 17

Tapaus osoittaa myös, miten yksittäiset valitukset voivat paljastaa suurten algoritmisten järjestelmien toimintaa. Kuljettajat pyysivät tietoja tiliensä kannalta ratkaisevista päätöksistä, minkä jälkeen tutkinta ulottui yksittäisten keskeytysten lisäksi Uberin automaattisen päätöksenteon rakenteeseen. 13

Kuinka suuri sakko on?

825 miljoonan euron seuraamusta on kuvattu EU:n GDPR:n toiseksi suurimmaksi sakoksi. Sen edellä on Metalle määrätty 1,2 miljardin euron sakko. 12

Summa on myös huomattavasti suurempi kuin Uberin aiempi, 290 miljoonan euron GDPR-sakko Alankomaissa. Aiempi tapaus koski eurooppalaisten kuljettajien henkilötietojen siirtoa Yhdysvaltoihin, ei automatisoituja tilipäätöksiä.

Tapaus	Seuraamus	Keskeinen ongelma
Uberin automatisoituja kuljettajapäätöksiä koskeva tapaus	825 miljoonaa euroa	Automatisoidut keskeytykset ja tilien sulkemiset ilman riittävää tietoa tai ihmisen tekemää valvontaa 12
Uberin aiempi GDPR-tapaus Alankomaissa	290 miljoonaa euroa	Eurooppalaisten kuljettajien tietojen siirrot Yhdysvaltoihin
Metan GDPR-ennätyssakko	1,2 miljardia euroa	Facebook-käyttäjien tietojen siirto Yhdysvaltoihin 110

Sakko on viranomaisen määräämä seuraamus. Se ei automaattisesti korvaa yksittäisille kuljettajille mahdollisesti menetettyjä ansioita.

Voivatko kuljettajat saada korvauksia?

Digitaalisten oikeuksien puolustajat ovat pitäneet päätöstä mahdollisena perustana yhteiselle oikeustoimelle, jossa Uberilta vaadittaisiin korvauksia. Reutersin lainaamien tietojen mukaan PersonalData.io valmisteli ryhmäkannetta. 13

Mahdollinen oikeusprosessi olisi erillinen AP:n määräämästä sakosta. Kuljettajien pitäisi edelleen osoittaa, millä perusteella korvauksia vaaditaan ja kuinka suuria mahdolliset vahingot ovat. Viranomaisen sakko ei itsessään synnytä automaattista oikeutta maksuun. 713

Uber aikoo valittaa

Uber on ilmoittanut olevansa vahvasti eri mieltä päätöksestä ja pitää sakkoa suhteettomana. Yhtiö kiistää osan tosiseikkoja koskevista havainnoista sekä seuraamuksen suuruuden ja aikoo valittaa. 13

Uberin mukaan päätöksen kohteena olleet käytännöt lopetettiin vuosina 2021–2022. Yhtiö kertoo nykyisten menettelyjensä sisältävän ihmisen tekemän tarkistuksen ja valitusmahdollisuuksia. Uber on myös väittänyt, että suurin osa keskeytyksistä on lyhyitä eikä pysyviä tilien sulkemisia tehdä ilman ihmisen osallistumista. 17

Nämä ovat Uberin omia näkemyksiä, kun taas AP:n havainnot koskevat päätöksessä tutkittuja aiempia käytäntöjä. Valitusmenettelyssä voidaan vielä ratkaista, mitkä havainnot ja sakon osat jäävät voimaan.

Mitä päätös merkitsee algoritmiselle työnjohdolle?

Tapaus vie tietosuojavalvonnan tutumpia tiedon keräämistä ja säilyttämistä koskevia kysymyksiä pidemmälle. Se osoittaa, että GDPR voi tulla sovellettavaksi silloin, kun henkilötietoja ja automaattista profilointia käytetään työmahdollisuuksien, tulojen tai digitaalisen alustan käyttöoikeuden hallintaan. 14

Teknologia- ja alustatalousyrityksille käytännön viesti on selvä: petosten tunnistamista, asiakasarvioita ja tilien valvontaa ei voi pitää seurauksettomana automaationa. Yritysten on kyettävä selittämään, miten päätökset syntyvät, ilmoitettava niistä päätösten kohteeksi joutuville, tarjottava aito mahdollisuus ihmisen tekemään uudelleenarviointiin ja annettava tehokas tapa riitauttaa kielteinen ratkaisu.

Sääntelyriski korostuu erityisesti silloin, kun ohjelmisto voi estää työntekijää ansaitsemasta joko tilapäisesti tai pysyvästi. Tällaisissa tilanteissa pelkkä nimellinen tarkistus ei välttämättä riitä: ihmisen tekemän arvioinnin on pystyttävä tutkimaan päätös perusteellisesti ja muuttamaan sitä, jos näyttö tai olosuhteet sitä edellyttävät.