הקנס של 825 מיליון אירו נגד אובר אינו קשור לדליפת מידע. הרשות ההולנדית להגנת הפרטיות, המוכרת בשם AP, קבעה כי החברה השתמשה במערכות אוטומטיות כדי להשעות או להשבית חשבונות של נהגים באירופה, בלי ליידע אותם כראוי שהחלטות כאלה מתקבלות באמצעות עיבוד אוטומטי ובלי לספק להם אפשרות משמעותית לביקורת אנושית ולהשגה. ההחלטה מתייחסת להתנהלות בשנים 2020–2022.
1
3
6
מה הוביל לקנס?
במרכז הפרשה עמד האופן שבו תוכנה של אובר קיבלה החלטות שהשפיעו ישירות על יכולתם של נהגים לעבוד בפלטפורמה. לפי הדיווחים על החלטת הרשות, המערכות הופעלו נגד נהגים שנחשדו בהונאה ונגד נהגים שקיבלו דירוגי לקוחות נמוכים.
2
4
בין התרחישים שעוררו חשד להונאה היו נסיעות ארוכות במיוחד, שעשויות להצביע על מעקפים מיותרים שנועדו להגדיל את מחיר הנסיעה, וכן מקרים שבהם נהג קיבל נסיעה אך נטען שלא התכוון להשלים אותה. המקורות מציגים דוגמאות להתנהגות שהמערכות נועדו לזהות, אך אינם מוכיחים באופן עצמאי שכל נהג שסומן אכן ביצע את המעשים הללו.
4
17
19
החשש של הרגולטור נגע אפוא לא רק לתוצאה, אלא גם לתהליך. השעיה או השבתה של חשבון עלולות לפגוע באופן משמעותי ביכולתו של נהג להתפרנס. לפי ה־AP, הנהגים לא קיבלו מידע מספק על קבלת ההחלטות האוטומטית, לא זכו למעורבות אנושית נאותה ולא קיבלו דרך יעילה לערער על התוצאה.
3
5
6
סוגיית ה־GDPR: אי אפשר להסתיר החלטה משמעותית מאחורי אלגוריתם
תקנת הגנת המידע האירופית, ה־GDPR, מגבילה החלטות שמתקבלות אך ורק באמצעות עיבוד אוטומטי כאשר יש להן השפעה משפטית או השפעה משמעותית דומה על אדם. במקרים שעליהם חלות ההגנות הללו, נדרשים אמצעי הגנה כמו התערבות אנושית אמיתית ואפשרות לערער על ההחלטה.
3
4
זו המשמעות המשפטית המרכזית של פרשת אובר. הדיון אינו רק בשאלה אם מותר לתוכנה לזהות פעילות חשודה. השאלה היא אם פלטפורמה יכולה לאפשר לתהליך אוטומטי לקבוע שנהג יאבד את הגישה למקור פרנסתו, בלי הודעה ברורה, בלי בדיקה אנושית אמיתית ובלי מסלול מעשי לבחינה מחדש של ההחלטה.
אם הקנס יישאר על כנו, הוא יהיה השני בגובהו שניתן עד כה לפי ה־GDPR, אחרי קנס של 1.2 מיליארד אירו שהטילה אירלנד על מטא ב־2023. הקנס נגד מטא עסק בהעברת מידע של משתמשי פייסבוק באירופה לארצות הברית, ולכן מדובר בהפרות שונות — אף ששני המקרים ממחישים את עוצמת האכיפה האירופית בתחום הגנת המידע.
3
6
14
מה טוענת אובר?
אובר דוחה את מסקנות ה־AP ומכנה את הקנס בלתי מידתי. עמדת החברה היא שהמערכות שלה פעלו כחוק ושלא מדובר בהחלטות אוטומטיות לחלוטין, משום שהתקיימה בהן השגחה אנושית. עמדה זו עומדת בניגוד לאופן שבו הרגולטור תיאר את תהליך ההשעיה וההשבתה.
6
7
החברה טענה גם שמספר הנהגים שהושבתו בשל דירוגי לקוחות נמוכים היה קטן יחסית. רויטרס דיווחה כי אובר הצביעה על 126 נהגים באירופה שהושבתו מסיבה זו בשנת 2021. זהו נתון שמוצג כחלק מטיעוני החברה לגבי היקף ההתנהלות, ולא כממצא שאומת באופן עצמאי בחומר המקורות הזמין.
8
9
המחלוקת צפויה להתמקד בשתי שאלות: כמה מעורבות אנושית הייתה בפועל בהחלטות הרלוונטיות, והאם היא עמדה בדרישה של ה־GDPR לביקורת אנושית משמעותית. החומרים הזמינים אינם קובעים כיצד יוכרעו השאלות הללו בהליך הערעור או בבית המשפט.
למה דווקא הרגולטור ההולנדי טיפל במקרה?
הפרשה החלה בעקבות תלונות של נהגים, ובהן תלונה שהוגשה בצרפת, אך היא טופלה בידי ה־AP ההולנדי. הדיווחים מתארים אותה כמקרה חוצה־גבולות לפי ה־GDPR, הנוגע לפעילות האירופית של אובר.
17
20
המקורות שסופקו אינם כוללים מספיק פרטים כדי לקבוע בוודאות מדוע הולנד שימשה הרשות המובילה, ולכן אין לצמצם את שאלת הסמכות להסבר יחיד שלא אומת. מה שברור הוא שה־AP חקר את ההחלטות הנוגעות לחשבונות הנהגים באירופה והטיל את הקנס על ההתנהלות בתקופה 2020–2022.
1
3
20
מה צפוי לקרות עכשיו?
אובר הודיעה כי תערער. לכן 825 מיליון אירו אינם בהכרח הסכום הסופי שהחברה תידרש לשלם.
6
7
9
נהגים שנפגעו עשויים גם להגיש תביעות פיצויים, אם יוכלו להוכיח הפרה של ה־GDPR, קשר בין ההפרה לבין ההשעיה או השבתת החשבון, ונזק כספי מסוים. בשלב זה אין מידע שמוכיח שנפסקו פיצויים, ואין ודאות שתביעות עתידיות יתקבלו.
הלקח הרחב יותר אינו רק גובה הקנס: פלטפורמות רשאיות להשתמש במערכות אוטומטיות כדי לאתר פעילות חשודה, אך כאשר החלטה משפיעה באופן ממשי על פרנסתו של אדם, נדרשים שקיפות ואמצעי הגנה שאפשר להשתמש בהם בפועל. הערעור של אובר יבחן עד כמה הדרישות האלה חלות במצב שבו החברה טוענת שהאלגוריתמים מזהים סיכונים, אך בני אדם עדיין מעורבים איפשהו בתהליך.