Uber पर €825 मिलियन का GDPR जुर्माना क्यों लगा?

GDPR के तहत किसी व्यक्ति को केवल स्वचालित प्रोसेसिंग के आधार पर ऐसे फैसले के अधीन नहीं किया जा सकता, जिसका उस पर महत्वपूर्ण असर हो, जब तक उचित सुरक्षा उपाय मौजूद न हों। इनमें सार्थक मानवीय हस्तक्षेप, अपना पक्ष रखने का अवसर और फैसले को चुनौती देने का वास्तविक रास्ता शामिल है।

AP का निष्कर्ष प्रतीत होता है कि Uber की प्रक्रिया इन सुरक्षा उपायों को पर्याप्त रूप से उपलब्ध नहीं कराती थी। केवल एल्गोरिदम के फैसले के बाद सूचना भेज देना काफी नहीं है, अगर ड्राइवर यह समझ ही न सके कि कार्रवाई क्यों हुई और स्वतंत्र रूप से दोबारा समीक्षा कैसे कराई जाए।

‘ह्यूमन इन द लूप’ भी क्यों पर्याप्त नहीं माना गया

इस मामले में अहम फर्क वास्तविक मानवीय समीक्षा और केवल औपचारिक मंजूरी के बीच है। किसी कर्मचारी का एल्गोरिदम के नतीजे पर हस्ताक्षर कर देना अपने-आप में स्वतंत्र समीक्षा नहीं माना जाएगा। समीक्षा करने वाले व्यक्ति के पास उपलब्ध तथ्यों को नए सिरे से देखने, ड्राइवर का पक्ष सुनने और जरूरत पड़ने पर फैसला पलटने की क्षमता होनी चाहिए।

एम्स्टर्डम कोर्ट ऑफ अपील के 2023 के एक संबंधित मामले में Uber द्वारा बताई गई मानवीय समीक्षा को प्रतीकात्मक माना गया था। अदालत ने कंपनी के ‘ह्यूमन इन द लूप’ तर्क को स्वीकार नहीं किया।

यह पिछला फैसला AP की कार्रवाई का कानूनी महत्व समझने में मदद करता है। मानवीय भागीदारी ऐसी होनी चाहिए जो नतीजा बदल सके; वह महज एक औपचारिक प्रक्रिया नहीं हो सकती, जिसमें एल्गोरिदम का फैसला लगभग जस का तस लागू हो जाए। साथ ही, ड्राइवर को फैसले को सार्थक ढंग से चुनौती देने के लिए पर्याप्त जानकारी भी मिलनी चाहिए।

ड्राइवरों को कथित तौर पर क्या नहीं बताया गया

नियामक के फैसले पर आधारित रिपोर्टिंग के अनुसार, Uber ने प्रभावित ड्राइवरों को पर्याप्त रूप से यह नहीं बताया कि उनके निलंबन या अकाउंट बंद करने के फैसलों में स्वचालित प्रक्रियाओं का इस्तेमाल किया जा रहा था।

इससे अनुपालन से जुड़ी दो समस्याएं पैदा हुईं:

• फैसला लेने की समस्या: स्वचालित प्रोसेसिंग से ड्राइवर की आय पर गंभीर असर पड़ सकता था, लेकिन पर्याप्त स्वतंत्र मानवीय हस्तक्षेप नहीं था।
• पारदर्शिता की समस्या: ड्राइवरों को स्वचालित प्रक्रिया और उसके असर के बारे में पर्याप्त जानकारी नहीं दी गई।

इसलिए मामला केवल यह नहीं पूछता कि Uber ने क्या कार्रवाई की, बल्कि यह भी देखता है कि उस कार्रवाई तक पहुंचने की प्रक्रिया कितनी पारदर्शी थी और प्रभावित व्यक्ति को वास्तविक समीक्षा का अवसर मिला या नहीं।

फ्रांस की शिकायत पर डच नियामक ने क्यों की कार्रवाई

शिकायत फ्रांस से शुरू हुई थी, लेकिन सीमा-पार मामले की अगुवाई नीदरलैंड्स के AP ने की क्योंकि Uber का यूरोपीय मुख्यालय वहीं है। GDPR के ‘वन-स्टॉप-शॉप’ ढांचे के तहत, किसी कंपनी के यूरोपीय संघ में मुख्य प्रतिष्ठान वाले देश का डेटा संरक्षण प्राधिकरण आम तौर पर सीमा-पार मामलों में प्रमुख नियामक की भूमिका निभाता है। अन्य प्रभावित देशों के प्राधिकरण भी प्रक्रिया में शामिल हो सकते हैं।

इस व्यवस्था का उद्देश्य यह है कि किसी बहुराष्ट्रीय कंपनी को यूरोपीय संघ के हर उस देश में अलग-अलग प्रमुख जांच का सामना न करना पड़े, जहां उसके कारोबारी तौर-तरीकों का असर पड़ता है। इसी वजह से फ्रांस में की गई शिकायत का फैसला डच नियामक के माध्यम से सामने आया।

Uber ने क्या जवाब दिया

Uber ने कहा है कि वह फैसले के खिलाफ अपील करेगा और जुर्माने तथा निर्णय को अनुपातहीन बताया है। कंपनी का कहना है कि वह मानवीय समीक्षा और निलंबन को चुनौती देने का अधिकार उपलब्ध कराती है। Uber ने यह भी कहा कि संदिग्ध धोखाधड़ी के मामलों में निलंबन अस्थायी थे और अकाउंट केवल स्वचालित प्रणाली के आधार पर स्थायी रूप से बंद नहीं किए गए।

कंपनी के अनुसार, अब वह केवल स्वचालित प्रणालियों के आधार पर स्थायी अकाउंट बंद करने के फैसले नहीं लेती। ये Uber का पक्ष है; AP का जुर्माना मुख्य रूप से 2020 से 2022 के बीच जांचे गए तौर-तरीकों से संबंधित है।

एल्गोरिदमिक प्रबंधन के लिए इसका व्यापक अर्थ

यह मामला दिखाता है कि यूरोप में एल्गोरिदमिक प्रबंधन अब केवल तकनीकी या गोपनीयता का विषय नहीं रह गया है। जब किसी सिस्टम का फैसला यह तय कर सकता है कि कोई व्यक्ति उस प्लेटफॉर्म पर काम कर पाएगा या नहीं, तब यह रोजगार और आय से जुड़ा गंभीर नियामकीय मुद्दा बन जाता है।

कंपनियों के लिए मुख्य सबक यह है कि केवल ‘मानवीय समीक्षा उपलब्ध है’ कह देना पर्याप्त नहीं होगा। समीक्षा करने वाले व्यक्ति को तथ्यों की स्वतंत्र जांच, प्रभावित व्यक्ति की सफाई सुनने और स्वचालित नतीजे को पलटने का अधिकार व क्षमता भी होनी चाहिए। यह बात ड्राइवरों की भर्ती, धोखाधड़ी का पता लगाने, अकाउंट प्रतिबंधित करने और प्लेटफॉर्म से हटाने वाली प्रणालियों पर लागू होती है।

यह कार्रवाई नीदरलैंड्स में Uber के GDPR इतिहास में एक अलग मामले के अलावा सामने आई है। 2024 में डच प्राधिकरण ने यूरोपीय ड्राइवरों के व्यक्तिगत डेटा को अमेरिका भेजने के मामले में Uber पर अलग से €290 मिलियन का जुर्माना लगाया था। वहीं Meta पर लगा €1.2 बिलियन का जुर्माना यूरोपीय Facebook उपयोगकर्ताओं के डेटा को अमेरिका भेजने से संबंधित था, न कि कर्मचारियों या ड्राइवरों के प्रबंधन से।

फिलहाल €825 मिलियन की राशि Uber की अपील के अधीन है। लेकिन इस मामले का व्यापक संदेश स्पष्ट है: GDPR के तहत जब किसी स्वचालित सिस्टम का फैसला किसी व्यक्ति की काम करने की क्षमता छीन सकता है, तो कंपनी उस प्रक्रिया को ‘ब्लैक बॉक्स’ नहीं बना सकती।