Uber rischia una multa GDPR da 825 milioni per aver sospeso i conducenti con sistemi automatizzati

Uber rischia una sanzione da 825 milioni di euro inflitta dall’Autorità olandese per la protezione dei dati, nota come AP, per aver utilizzato sistemi automatizzati nella sospensione o disattivazione degli account dei conducenti senza informarli adeguatamente e senza garantire le tutele previste dal GDPR per le decisioni ad alto impatto. Se confermata, sarebbe la seconda multa più elevata mai applicata ai sensi del regolamento europeo, dopo quella da 1,2 miliardi di euro inflitta dall’autorità irlandese a Meta nel 2023. Uber ha annunciato che farà ricorso, quindi l’importo potrebbe ancora cambiare.

Il punto centrale: un algoritmo poteva mettere a rischio il reddito

L’AP non ha contestato a Uber il semplice uso di algoritmi per individuare possibili comportamenti irregolari. Il problema, secondo il regolatore, è che quei sistemi potevano far scattare provvedimenti contro i conducenti in casi di sospetta frode sulle tariffe, presunte deviazioni non necessarie per aumentare il costo della corsa, viaggi accettati ma non portati a termine e valutazioni basse da parte dei clienti. Le conseguenze potevano limitare o interrompere la possibilità di lavorare sulla piattaforma.

Il GDPR stabilisce che, in linea generale, una persona non può essere sottoposta a una decisione basata esclusivamente su un trattamento automatizzato quando questa produce effetti significativi, senza adeguate garanzie. Tra queste rientrano un intervento umano effettivo, la possibilità di esprimere il proprio punto di vista e un modo concreto per contestare la decisione.

Secondo la ricostruzione dell’autorità, il procedimento di Uber non offriva queste garanzie in misura sufficiente. Ricevere una notifica dopo la decisione dell’algoritmo non basta se il conducente non può capire che cosa sia successo né ottenere una rivalutazione reale e indipendente.

Perché un semplice “controllo umano” non era sufficiente

La distinzione decisiva è tra una persona che può riesaminare autonomamente le prove e un revisore che si limita a confermare il risultato prodotto dal sistema. In un procedimento collegato, la Corte d’appello di Amsterdam aveva già stabilito che le verifiche umane dichiarate da Uber erano soltanto simboliche, respingendo l’idea che bastasse un generico “human in the loop”.

Quella decisione aiuta a comprendere la portata giuridica del caso. L’intervento umano deve poter modificare l’esito: non può essere una formalità che lascia intatta, di fatto, la decisione dell’algoritmo. Inoltre, il conducente deve ricevere informazioni sufficienti per poter contestare la misura in modo consapevole.

Che cosa, secondo l’AP, non veniva spiegato ai conducenti

L’autorità ha rilevato che Uber non informava adeguatamente i conducenti interessati dell’uso di processi automatizzati per determinare sospensioni o disattivazioni, secondo le ricostruzioni basate sulla decisione del regolatore. Questa carenza di trasparenza impediva ai conducenti di comprendere perché avessero perso l’accesso alla piattaforma e come contestare la decisione alla base del provvedimento.

La vicenda presenta quindi due problemi distinti ma collegati:

• Il problema della decisione: un trattamento automatizzato poteva produrre conseguenze significative senza un intervento umano adeguato.
• Il problema della trasparenza: i conducenti non ricevevano informazioni sufficienti sul processo automatizzato e sui suoi effetti.

Il caso riguarda dunque sia il risultato sia il percorso che lo ha prodotto. Un’azienda deve spiegare non solo quale misura ha adottato, ma anche come una persona possa ottenere una verifica autentica quando un sistema automatico minaccia la sua fonte di reddito.

Perché a occuparsi della denuncia francese è stata l’autorità olandese

La denuncia era partita dalla Francia, ma il procedimento transfrontaliero è stato gestito dall’AP perché la sede europea di Uber si trova nei Paesi Bassi. Il meccanismo europeo del “one-stop shop” prevede infatti che, nei casi che coinvolgono più Paesi, l’autorità dello Stato in cui un’azienda ha la sua principale sede nell’Unione europea assuma generalmente il ruolo di autorità capofila, mentre gli altri garanti interessati possono partecipare.

L’obiettivo è evitare che una multinazionale debba affrontare indagini completamente separate in ogni Paese europeo in cui le sue pratiche producono effetti. Questo spiega perché una denuncia presentata da conducenti francesi possa essere sfociata in una decisione dell’autorità olandese.

La risposta di Uber

Uber ha definito sproporzionata la decisione e ha dichiarato che farà ricorso. L’azienda sostiene di offrire verifiche umane e la possibilità di contestare le sospensioni. Ha inoltre affermato che le sospensioni legate a sospette frodi erano temporanee e ha negato che gli account venissero disattivati definitivamente soltanto sulla base di sistemi automatizzati.

Uber ha aggiunto di non adottare più decisioni di disattivazione permanente basate esclusivamente sull’automazione. Si tratta della posizione dell’azienda; la sanzione dell’AP riguarda le pratiche esaminate per il periodo di riferimento, principalmente tra il 2020 e il 2022.

Il significato più ampio per la gestione algoritmica del lavoro

La decisione mostra perché la gestione algoritmica stia diventando una questione centrale non solo per la privacy, ma anche per il lavoro in Europa. I sistemi esaminati non si limitavano a suggerire pubblicità o a organizzare dati dei clienti: potevano determinare se un lavoratore avrebbe conservato l’accesso a una piattaforma da cui dipendeva il suo reddito.

La lezione per le aziende è chiara: una policy che prevede una “revisione umana” difficilmente basta se i revisori non possono esaminare autonomamente i fatti, ascoltare la spiegazione della persona interessata e annullare il risultato automatico. Le imprese che utilizzano sistemi automatizzati per l’accesso dei lavoratori, il rilevamento delle frodi, le restrizioni agli account o le disattivazioni devono considerare trasparenza e possibilità di contestazione proprio nel momento in cui queste tecnologie incidono sulla capacità di lavorare.

Il procedimento si inserisce inoltre nella storia più ampia delle sanzioni GDPR contro Uber nei Paesi Bassi. Nel 2024, l’autorità olandese aveva inflitto alla società una multa separata da 290 milioni di euro per il trasferimento negli Stati Uniti dei dati personali dei conducenti europei. La sanzione da 1,2 miliardi di euro contro Meta riguardava invece il trasferimento negli USA dei dati degli utenti europei di Facebook, non la gestione dei lavoratori.

Per ora, gli 825 milioni di euro restano soggetti al ricorso annunciato da Uber. Il messaggio di fondo, però, è già evidente: secondo il GDPR, la gestione automatizzata non può trasformarsi in una scatola nera quando le sue decisioni possono togliere a una persona la possibilità di lavorare.