Uberin 825 miljoonan euron sakko ei liity tietomurtoon. Alankomaiden tietosuojaviranomainen AP katsoi, että Uber käytti automaattisia järjestelmiä eurooppalaisten kuljettajien tilien keskeyttämiseen ja sulkemiseen kertomatta heille riittävästi automaattisesta päätöksenteosta. Kuljettajille ei myöskään tarjottu aidosti toimivaa mahdollisuutta saada päätöstä ihmisen arvioitavaksi ja riitauttaa sitä. Päätös koskee vuosina 2020–2022 tehtyjä toimia.
1
3
6
Mistä sakko sai alkunsa?
Tapauksen ytimessä olivat ohjelmistot, jotka tekivät kuljettajien työskentelyoikeuteen vaikuttavia tilipäätöksiä. Lähteiden mukaan järjestelmiä käytettiin kuljettajiin, joita epäiltiin vilpistä, sekä kuljettajiin, joiden asiakasarviot olivat matalia.
2
4
Epäiltyyn vilppiin liittyviä esimerkkejä olivat poikkeuksellisen pitkät matkat, jotka saattoivat viitata tarpeettomiin kiertoteihin hinnan nostamiseksi, sekä tilanteet, joissa kuljettaja hyväksyi kyydin mutta ei lähteiden mukaan aikonut suorittaa sitä. Saatavilla olevat tiedot kertovat, millaista toimintaa Uberin järjestelmät pyrkivät tunnistamaan, mutta ne eivät osoita erikseen, että jokainen järjestelmän merkitsemä kuljettaja olisi syyllistynyt kyseiseen toimintaan.
4
17
19
Viranomaisen huoli koski siis sekä päätöksiä että niiden tekotapaa. Tilin jäädyttäminen tai sulkeminen voi vaikuttaa suoraan kuljettajan mahdollisuuteen ansaita tuloja. AP:n mukaan kuljettajille ei kerrottu automaattisesta päätöksenteosta asianmukaisesti, eikä ihmisen osallistuminen tai päätöksen riitauttaminen ollut riittävää.
3
5
6
GDPR ei salli merkittävien päätösten katoamista algoritmiin
EU:n yleinen tietosuoja-asetus eli GDPR rajoittaa päätöksiä, jotka perustuvat yksinomaan automaattiseen tietojenkäsittelyyn ja joilla on henkilölle oikeudellisia tai muuten merkittäviä vaikutuksia. Tällaisissa tilanteissa suojakeinoihin voi kuulua mielekäs ihmisen tekemä arviointi sekä mahdollisuus haastaa päätös.
3
4
Tässä on Uber-tapauksen juridinen merkitys. Kiista ei koske vain sitä, saako ohjelmisto etsiä epäilyttävää toimintaa. Kysymys on siitä, voiko alusta antaa automaattisen prosessin ratkaista, menettääkö kuljettaja pääsyn työhönsä, jos päätöksestä ei kerrota selkeästi, ihminen ei arvioi sitä aidosti eikä kuljettajalla ole käytännöllistä tapaa pyytää uutta käsittelyä.
825 miljoonan euron seuraamus olisi GDPR:n toiseksi suurin. Edelle menisi Irlannin vuonna 2023 Metalle määräämä 1,2 miljardin euron sakko, joka liittyi eurooppalaisten Facebook-käyttäjien tietojen siirtämiseen Yhdysvaltoihin. Tapaukset koskevat eri väitettyjä rikkomuksia, mutta molemmat osoittavat eurooppalaisen tietosuojavalvonnan mittakaavan.
3
6
14
Uber kiistää viranomaisen tulkinnan
Uber on kiistänyt AP:n johtopäätökset ja kutsunut sakkoa suhteettomaksi. Yhtiön mukaan sen järjestelmät olivat lainmukaisia ja niiden yhteydessä oli ihmisen tekemää valvontaa – päätöksiä ei siis yhtiön näkemyksen mukaan tehty täysin automaattisesti. Tämä on suoraan ristiriidassa sen kanssa, miten viranomainen kuvasi keskeytys- ja sulkemisprosessia.
6
7
Uber on vedonnut myös siihen, että matalien asiakasarvioiden vuoksi suljettiin vuonna 2021 Euroopassa vain 126 kuljettajaa. Luku on Reutersin mukaan Uberin oma perustelu sakon mittakaavasta, ei saatavilla olevien lähteiden itsenäisesti vahvistama viranomaislöydös.
8
9
Mahdollisessa muutoksenhaussa keskeisiksi kysymyksiksi nousevat se, kuinka paljon ihminen tosiasiassa osallistui kyseisiin päätöksiin ja täyttikö tämä osallistuminen GDPR:n tarkoittaman mielekkään arvioinnin vaatimukset. Saatavilla olevat tiedot eivät ratkaise sitä, miten tuomioistuin tai muutoksenhakumenettely kysymykset arvioi.
Miksi tapausta käsiteltiin Alankomaissa?
Asia sai alkunsa kuljettajien valituksista, joihin kuului ranskalainen kantelu, mutta tutkinnasta vastasi Alankomaiden tietosuojaviranomainen AP. Lähteet kuvaavat tapausta rajat ylittäväksi GDPR-asiaksi, joka koski Uberin Euroopan-toimintoja.
17
20
Saatavilla oleva aineisto ei anna riittävästi tietoa siitä, miksi juuri Alankomaat toimi asiassa johtavana viranomaisena. Siksi toimivaltakysymystä ei ole perusteltua selittää yhdellä varmistamattomalla syyllä. Selvää on, että AP tutki eurooppalaisten kuljettajien tileihin liittynyttä automaattista päätöksentekoa ja määräsi seuraamuksen vuosien 2020–2022 toimista.
1
3
20
Mitä tapahtuu seuraavaksi?
Uber on ilmoittanut valittavansa päätöksestä. Siksi 825 miljoonan euron sakko ei välttämättä ole lopullinen eikä summa välttämättä jää maksettavaksi sellaisenaan.
6
7
9
Myös kuljettajat voivat mahdollisesti vaatia korvauksia, jos he pystyvät osoittamaan GDPR-rikkomuksen, yhteyden rikkomuksen ja tilin keskeyttämisen tai sulkemisen välillä sekä konkreettisen taloudellisen vahingon. Saatavilla olevat tiedot eivät osoita, että korvauksia olisi jo määrätty, eivätkä ne takaa tulevien vaatimusten menestymistä.
Tapauksen laajempi opetus on otsikkolukua täsmällisempi mutta merkittävämpi: alustat voivat käyttää automaattisia järjestelmiä epäillyn väärinkäytön tunnistamiseen, mutta ihmisen toimeentuloon olennaisesti vaikuttaviin päätöksiin tarvitaan läpinäkyvyyttä ja suojakeinoja, joita voi myös tosiasiassa käyttää. Uberin valitus testaa, kuinka näitä vaatimuksia sovelletaan tilanteessa, jossa yhtiö sanoo algoritmien tunnistavan riskit mutta ihmisten osallistuvan prosessiin jossain vaiheessa.