Multa GDPR da 825 milioni a Uber: quando è un algoritmo a decidere chi può lavorare

La sanzione riguarda un aspetto sempre più delicato dell’economia delle piattaforme: non soltanto quali dati raccoglie un’azienda, ma anche come li usa per decidere chi può continuare a lavorare.

L’Autorità olandese per la protezione dei dati, l’Autoriteit Persoonsgegevens (AP), ha multato Uber per 825 milioni di euro, pari a circa 966 milioni di dollari, per violazioni del GDPR legate a sospensioni e disattivazioni automatizzate degli account dei conducenti europei tra il 2020 e il 2022. Il regolatore ha rilevato che Uber non avrebbe informato adeguatamente i conducenti sull’uso di sistemi automatizzati e non avrebbe garantito un controllo umano sufficiente. 12

Uber contesta parte delle conclusioni e l’entità della sanzione. La società ha annunciato che farà ricorso. 1

Che cosa ha contestato l’autorità olandese

Secondo la decisione dell’AP, Uber utilizzava sistemi automatizzati per:

• sospendere temporaneamente conducenti sospettati di frode;
• disattivare in modo permanente alcuni account sulla base di valutazioni basse ricevute dai clienti;
• individuare comportamenti ritenuti anomali senza informare in modo adeguato le persone coinvolte sul funzionamento delle decisioni.

In alcuni casi, questi sistemi potevano adottare o attivare la decisione senza una verifica umana significativa. 145

Tra gli indicatori utilizzati per rilevare possibili frodi sarebbero rientrati, per esempio, viaggi insolitamente lunghi, che potevano far pensare a deviazioni non necessarie, oppure l’accettazione di corse che il conducente non intendeva effettivamente effettuare. 5

Il problema, quindi, non è semplicemente l’uso di un software per individuare comportamenti sospetti o valutare la qualità del servizio. La questione centrale è che il risultato del trattamento automatizzato poteva determinare se una persona avrebbe continuato ad avere accesso alla piattaforma e, di conseguenza, se avrebbe potuto continuare a guadagnare attraverso Uber.

Perché una sospensione può essere una decisione “significativa”

Il GDPR limita le decisioni basate esclusivamente su trattamenti automatizzati quando producono effetti giuridici o incidono in modo significativamente negativo su una persona. L’autorità olandese descrive questa garanzia come il diritto a una valutazione umana nelle decisioni più importanti.

Per un conducente, perdere l’accesso a Uber non equivale alla modifica di una normale impostazione dell’account. Una sospensione temporanea può interrompere il reddito; una disattivazione permanente può impedire di lavorare attraverso la piattaforma. È proprio questo impatto sul sostentamento a rendere le decisioni diverse da una misura operativa ordinaria. 45

Quando una decisione automatizzata è consentita dal GDPR, devono comunque essere previste garanzie adeguate. Tra queste rientrano informazioni chiare sul processo, la possibilità di chiedere l’intervento di una persona e un’occasione concreta per contestare l’esito.

Una revisione solo formale, incapace di riesaminare davvero le prove o di modificare la decisione, potrebbe non essere sufficiente: l’intervento umano deve poter correggere l’algoritmo quando i dati sono incompleti, il contesto è diverso o il sistema ha commesso un errore.

Come è nato il caso

L’indagine è partita dalle denunce di conducenti francesi. L’ex conducente Uber Brahim Ben Ali ha raccolto le testimonianze di circa 170 persone coinvolte, con l’assistenza del gruppo svizzero per i diritti digitali PersonalData.io. Le ricostruzioni disponibili fanno riferimento a 171 denuncianti francesi. 413

Il caso mostra come una serie di contestazioni individuali possa portare alla verifica del funzionamento di sistemi algoritmici su larga scala. I conducenti chiedevano informazioni sulle decisioni che avevano colpito i loro account; l’indagine ha quindi esaminato non soltanto i singoli provvedimenti, ma anche la struttura del processo automatizzato usato da Uber. 13

Perché se ne è occupata l’autorità dei Paesi Bassi

L’AP olandese ha gestito il procedimento perché le attività europee rilevanti di Uber e il relativo assetto di supervisione previsto dal GDPR facevano capo ai Paesi Bassi. Questo consente all’autorità di occuparsi di un caso transfrontaliero che coinvolge conducenti residenti in un altro Paese europeo. 17

In altre parole, il fatto che le denunce provenissero dalla Francia non impediva al regolatore olandese di intervenire: la competenza dipendeva dall’organizzazione europea delle attività di Uber e dal meccanismo di supervisione previsto dalla normativa.

Una delle sanzioni GDPR più alte di sempre

Gli 825 milioni di euro rappresentano, secondo le ricostruzioni disponibili, la seconda sanzione più elevata mai inflitta nell’ambito del GDPR nell’Unione europea, dietro alla multa da 1,2 miliardi di euro comminata a Meta. 12

È inoltre molto superiore alla precedente sanzione da 290 milioni di euro inflitta a Uber nei Paesi Bassi. Quel procedimento riguardava il trasferimento negli Stati Uniti dei dati personali dei conducenti europei, non le decisioni automatizzate su sospensioni e disattivazioni.

Caso	Sanzione	Questione principale
Caso Uber sulle decisioni automatizzate	825 milioni di euro	Sospensioni e disattivazioni senza informazioni adeguate o controllo umano sufficiente 12
Precedente caso Uber nei Paesi Bassi	290 milioni di euro	Trasferimento negli Stati Uniti dei dati dei conducenti europei
Sanzione record a Meta	1,2 miliardi di euro	Trasferimento negli Stati Uniti dei dati degli utenti Facebook 110

La multa è una sanzione amministrativa. Non comporta automaticamente un risarcimento per i conducenti né un pagamento diretto per eventuali guadagni persi.

I conducenti potrebbero essere risarciti?

Le organizzazioni per i diritti digitali hanno considerato la decisione un possibile punto di partenza per un’azione collettiva contro Uber. PersonalData.io ha dichiarato, secondo le notizie citate da Reuters, di stare preparando una class action per chiedere un risarcimento. 13

Un’eventuale causa collettiva sarebbe separata dalla sanzione dell’AP. I conducenti dovrebbero ancora dimostrare il fondamento della richiesta e l’entità del danno subito, individualmente o come gruppo. La multa del regolatore, da sola, non crea un diritto automatico a ricevere denaro. 713

La risposta di Uber e il ricorso annunciato

Uber ha dichiarato di essere in forte disaccordo con la decisione e ha definito sproporzionata la sanzione. L’azienda contesta alcuni elementi di fatto e l’importo complessivo e intende presentare ricorso. 13

La società sostiene inoltre che le politiche contestate siano state abbandonate tra il 2021 e il 2022. Secondo Uber, le procedure attuali prevedono una revisione umana e canali di ricorso; l’azienda afferma anche che la maggior parte delle sospensioni è breve e che le disattivazioni permanenti non avvengono senza il coinvolgimento di una persona. 17

Queste sono le posizioni di Uber, mentre le conclusioni dell’AP riguardano le pratiche storiche esaminate nel procedimento. Il ricorso dovrà stabilire quali contestazioni e quali parti della sanzione resteranno in vigore.

Il significato per la gestione algoritmica del lavoro

Il caso amplia il campo d’azione della regolamentazione sulla privacy. Il GDPR non riguarda soltanto la raccolta e la conservazione dei dati: può applicarsi anche quando dati personali e profilazione automatizzata vengono utilizzati per controllare l’accesso al lavoro, al reddito o alle opportunità economiche offerte da una piattaforma. 14

Per le aziende tecnologiche e della gig economy, il messaggio è diretto: sistemi antifrode, valutazioni dei clienti e soglie per la disattivazione non possono essere trattati come automazioni prive di conseguenze. Le imprese devono essere in grado di spiegare come vengono prese le decisioni, informare le persone interessate, offrire una revisione umana autentica e mettere a disposizione strumenti efficaci per contestare gli esiti negativi.

Il rischio regolatorio è particolarmente elevato quando un software può impedire a un lavoratore di guadagnare, anche solo temporaneamente, o escluderlo in modo permanente dalla piattaforma. In questi casi, non basta inserire un passaggio umano sulla carta: la persona incaricata della revisione deve poter esaminare realmente la decisione e modificarla quando le circostanze o le prove lo richiedono.