אובר נקנסה ב־825 מיליון אירו בגלל השעיית נהגים באמצעות אלגוריתמים

הרשות ההולנדית להגנת מידע (AP) הטילה על אובר קנס של 825 מיליון אירו — כ־966 מיליון דולר — בעקבות הפרות של תקנת הגנת הפרטיות האירופית, GDPR. ההחלטה עוסקת במערכות אוטומטיות ששימשו את אובר להשעיית נהגים ולביטול חשבונותיהם באירופה בשנים 2020–2022, בלי ליידע אותם כראוי ובלי לספק פיקוח אנושי מספק. 12

אובר דוחה חלק מממצאי הרשות ואת גובה הקנס, והודיעה כי תערער על ההחלטה. 1

מה מצאה הרשות ההולנדית?

לפי החלטת ה־AP, אובר השתמשה במערכות אוטומטיות כדי להשעות זמנית נהגים שנחשדו בהונאה, ובמקרים מסוימים כדי לבטל לצמיתות חשבונות של נהגים שקיבלו דירוגים נמוכים מהנוסעים. המערכות יכלו לקבל את ההחלטה — או להפעיל אותה — בלי בדיקה אנושית משמעותית, בעוד שהנהגים לא קיבלו הסבר מספק על השימוש בקבלת החלטות אוטומטית. 145

הבעיה, לפי הרגולטור, לא הייתה עצם השימוש בתוכנה לאיתור הונאות או להערכת איכות השירות. השאלה המרכזית הייתה מה קורה כשהתוכנה קובעת אם נהג יוכל להמשיך להשתמש בפלטפורמה — ולכן גם אם יוכל להמשיך להתפרנס ממנה.

בין הסימנים ששימשו, לפי הדיווחים, לאיתור חשדות להונאה היו נסיעות ארוכות במיוחד, שעשויות להצביע על מעקפים מיותרים, וכן קבלת נסיעות שהנהג לא התכוון לבצע. 5

למה זו נחשבת החלטה משמעותית לפי ה־GDPR?

ה־GDPR מגביל החלטות המבוססות אך ורק על עיבוד אוטומטי, כאשר יש להן תוקף משפטי או השפעה משמעותית אחרת על אדם. הרשות ההולנדית מתארת זאת כזכות ל״מבט אנושי״ בהחלטות בעלות השלכות כבדות.

עבור נהגי פלטפורמות, אובדן הגישה לאובר אינו דומה לשינוי שגרתי בהגדרות החשבון. השעיה זמנית עלולה לקטוע הכנסה, וחסימה קבועה עלולה למנוע מהנהג לעבוד באמצעות הפלטפורמה בכלל. זו הסיבה שהרגולטור ראה בהחלטות האלה צעדים משמעותיים — ולא פעולות תפעוליות רגילות. 45

כאשר החלטה אוטומטית מותרת לפי ה־GDPR, על החברה לספק אמצעי הגנה מתאימים. אלה עשויים לכלול מידע ברור על אופן קבלת ההחלטה, אפשרות לבקש התערבות של אדם, והזדמנות ממשית לערער על התוצאה.

איך התחיל התיק, ולמה הוא טופל בהולנד?

התיק החל בתלונות של נהגים מצרפת. ברהים בן עלי, נהג אובר לשעבר, אסף עדויות מכ־170 נהגים שנפגעו, בסיוע קבוצת זכויות הדיגיטל השווייצרית PersonalData.io. בדיווחים על התיק מוזכרים 171 מתלוננים מצרפת. 413

הרשות ההולנדית טיפלה בחקירה משום שהפעילות האירופית הרלוונטית של אובר והסדר הפיקוח המרכזי שלה לפי ה־GDPR היו ממוקמים בהולנד. כך יכלה הרשות ההולנדית לפעול בתיק חוצה גבולות, אף שהנהגים שנפגעו פעלו במדינה אחרת באירופה. 17

הפרשה ממחישה גם כיצד תלונות של יחידים יכולות לחשוף את אופן פעולתן של מערכות אלגוריתמיות רחבות־היקף. הנהגים ביקשו להבין אילו החלטות התקבלו בעניינם, והחקירה בחנה לא רק מקרים פרטניים אלא גם את המבנה של מנגנון קבלת ההחלטות האוטומטי של אובר. 13

עד כמה גדול הקנס?

הקנס של 825 מיליון אירו צפוי להיות הקנס השני בגובהו שהוטל עד כה במסגרת ה־GDPR באיחוד האירופי, אחרי קנס של 1.2 מיליארד אירו שהוטל על מטא. 12

הוא גם גבוה משמעותית מהקנס הקודם של אובר בהולנד, בסך 290 מיליון אירו. אותו קנס עסק בהעברת מידע אישי של נהגים אירופים לארצות הברית — ולא בהחלטות אוטומטיות על חשבונותיהם.

פרשה	סכום הקנס	הנושא המרכזי
הפרשה הנוכחית של אובר	825 מיליון אירו	השעיות וחסימות אוטומטיות ללא מידע מספק או פיקוח אנושי 12
הקנס הקודם של אובר בהולנד	290 מיליון אירו	העברת מידע אישי של נהגים אירופים לארצות הברית
קנס השיא של מטא	1.2 מיליארד אירו	העברת מידע של משתמשי פייסבוק לארצות הברית 110

חשוב להדגיש: הקנס הוא סנקציה רגולטורית. הוא אינו מעניק לנהגים פיצוי אוטומטי על אובדן הכנסות.

האם הנהגים עשויים לקבל פיצוי?

פעילים בתחום זכויות הדיגיטל רואים בהחלטה אפשרות לבסיס להליך משפטי קבוצתי נגד אובר, במטרה לדרוש פיצוי עבור נהגים שנפגעו. לפי הדיווחים שצוטטו ברויטרס, PersonalData.io מסרה כי היא נערכת להגשת תביעה ייצוגית. 13

הליך כזה יהיה נפרד מהקנס שהטילה ה־AP. הנהגים עדיין יצטרכו להוכיח את הבסיס לתביעת הפיצויים ואת היקף הנזק האישי או הקבוצתי. הקנס הרגולטורי כשלעצמו אינו יוצר תשלום אוטומטי. 713

מה אובר אומרת?

אובר מסרה כי היא מתנגדת בתוקף להחלטה ורואה בקנס בלתי מידתי. החברה חולקת על חלק מהממצאים העובדתיים ועל גובה הסנקציה, ומתכננת לערער עליה. 13

עוד טענה אובר כי המדיניות שנבחנה הופסקה בשנים 2021–2022, וכי הנהלים הנוכחיים שלה כוללים בדיקה אנושית ומסלולי ערעור. החברה טענה גם שרוב ההשעיות קצרות, ושחסימות קבועות אינן מתבצעות ללא מעורבות אנושית. 17

אלה עמדותיה של אובר, בעוד שממצאי ה־AP מתייחסים להתנהלות ההיסטורית שנבדקה בהחלטה. הערעור עשוי לקבוע אילו מהממצאים ואילו מרכיבי הקנס יישארו בתוקף.

מה הפרשה מסמנת לעתיד של ניהול באמצעות אלגוריתמים?

הפרשה מרחיבה את הדיון באכיפת הפרטיות מעבר לשאלות המוכרות של איסוף מידע ואחסונו. היא מראה כיצד ה־GDPR עשוי לחול גם כאשר מידע אישי ופרופילים אוטומטיים משמשים לשליטה בגישה לעבודה, להכנסה או להזדמנויות כלכליות בפלטפורמה. 14

עבור חברות טכנולוגיה וכלכלת החלטורה, המסר המעשי ברור: איתור הונאות, מערכות דירוג ואכיפת כללי שימוש אינן יכולות להיחשב לאוטומציה נטולת השלכות. חברות שמפעילות מערכות כאלה צריכות להיות מסוגלות להסביר כיצד מתקבלות החלטות, ליידע את מי שנפגע מהן, לאפשר בחינה אנושית אמיתית ולהציע דרך יעילה לערער על תוצאה שלילית.

הסיכון הרגולטורי בולט במיוחד כאשר תוכנה יכולה למנוע מעובד להרוויח — באופן זמני או לצמיתות. במצבים כאלה, עצם קיומו של הליך בדיקה אינו בהכרח מספיק: ההתערבות האנושית צריכה להיות מסוגלת לבחון את ההחלטה מחדש ואף לשנות אותה כאשר הראיות או הנסיבות מצדיקות זאת.