La multa da 825 milioni di euro inflitta a Uber dall’Autorità olandese per la protezione dei dati, l’Autoriteit Persoonsgegevens (AP), non riguarda una fuga di dati. Al centro del caso ci sono i sistemi automatizzati usati per sospendere o disattivare gli account di autisti europei tra il 2020 e il 2022. Secondo l’autorità, Uber non li avrebbe informati adeguatamente del ricorso a decisioni automatizzate né avrebbe garantito un controllo umano effettivo e una possibilità concreta di contestare l’esito.
1
3
6
Che cosa ha fatto scattare la sanzione
Il procedimento riguarda il modo in cui il software di Uber prendeva decisioni capaci di interrompere, temporaneamente o in modo permanente, l’accesso degli autisti alla piattaforma e quindi alla loro attività lavorativa. Le segnalazioni riguardavano autisti sospettati di frode e autisti con valutazioni basse da parte dei clienti.
2
4
Tra gli indicatori considerati dai sistemi c’erano:
- viaggi insolitamente lunghi, interpretati come possibili deviazioni non necessarie per aumentare il prezzo della corsa;
- corse accettate che l’autista avrebbe poi potuto non avere intenzione di completare;
- valutazioni basse ricevute dai clienti.
4
17
19
Questi esempi descrivono i comportamenti che gli algoritmi di Uber erano progettati per individuare, ma le fonti disponibili non dimostrano che ogni autista segnalato abbia effettivamente commesso una frode.
4
17
19
La contestazione dell’AP riguarda quindi sia il risultato sia la procedura. La sospensione o la disattivazione di un account può incidere direttamente sulla capacità di una persona di guadagnare. Per questo, secondo il regolatore, non bastava lasciare che un sistema identificasse un’anomalia: gli autisti avrebbero dovuto sapere che la decisione era automatizzata, ricevere un esame umano adeguato e poter chiedere una revisione in modo realmente praticabile.
3
5
6
Il nodo del GDPR: una decisione che incide sul lavoro non può sparire dentro un algoritmo
Il Regolamento generale sulla protezione dei dati (GDPR) pone limiti alle decisioni basate esclusivamente su trattamenti automatizzati quando producono effetti giuridici o conseguenze altrettanto significative per una persona. Nei casi coperti da queste tutele, tra le garanzie previste possono rientrare un intervento umano significativo e la possibilità di contestare la decisione.
3
4
È questo il punto giuridico centrale del caso Uber. La questione non è semplicemente se una piattaforma possa usare algoritmi per individuare attività sospette. Il problema è se possa lasciare che un processo automatizzato stabilisca che un autista debba perdere l’accesso al lavoro senza spiegazioni chiare, senza una verifica umana autentica e senza un percorso concreto per chiedere di riesaminare la decisione.
Se confermata, la sanzione sarebbe la seconda più alta mai inflitta ai sensi del GDPR, dopo la multa da 1,2 miliardi di euro comminata dall’autorità irlandese a Meta nel 2023 per il trasferimento negli Stati Uniti dei dati degli utenti europei di Facebook. I due procedimenti riguardano violazioni diverse, ma mostrano entrambi la portata delle sanzioni europee contro le grandi piattaforme tecnologiche.
3
6
14
La risposta di Uber: sistemi leciti e supervisione umana
Uber contesta le conclusioni dell’AP e considera la multa sproporzionata. La società sostiene che i propri sistemi fossero conformi alla legge e sottoposti a supervisione umana, invece di operare come strumenti completamente automatizzati. Questa ricostruzione contrasta con quella del regolatore sul processo di sospensione e disattivazione.
6
7
L’azienda ha inoltre sostenuto che il numero di autisti disattivati a causa delle valutazioni basse fosse limitato: secondo il dato citato da Reuters, nel 2021 sarebbero stati 126 in Europa. Si tratta della cifra indicata da Uber per ridimensionare la portata del caso, non di un dato che le fonti disponibili consentano di presentare come accertamento indipendente.
8
9
Il possibile ricorso dovrà chiarire soprattutto due aspetti: quanto fosse effettivo l’intervento umano nelle decisioni rilevanti e se tale intervento soddisfacesse il requisito di una revisione significativa previsto dal GDPR. Le informazioni disponibili non permettono di anticipare come verranno risolte queste questioni in sede di appello.
Perché il caso è stato gestito nei Paesi Bassi
Il procedimento è nato da denunce presentate da autisti, inclusa una denuncia in Francia, ma è stato seguito dall’AP olandese. Le fonti descrivono la vicenda come un caso transfrontaliero relativo alle attività europee di Uber.
17
20
Il materiale disponibile non contiene elementi sufficienti per affermare con certezza quale sia stata la ragione giuridica precisa per cui l’autorità olandese ha assunto il ruolo principale. È quindi prudente non ridurre la questione a una singola spiegazione non verificata. È chiaro, invece, che l’AP ha esaminato le decisioni automatizzate sugli account europei e ha imposto la sanzione per il periodo 2020-2022.
1
3
20
Che cosa succede ora
Uber ha dichiarato che presenterà ricorso. La decisione da 825 milioni di euro non rappresenta quindi necessariamente l’importo definitivo che la società dovrà pagare.
6
7
9
Gli autisti interessati potrebbero inoltre chiedere un risarcimento se riuscissero a dimostrare una violazione illecita del GDPR, il legame tra quella violazione e la sospensione o disattivazione dell’account e una perdita economica specifica. Le fonti disponibili non indicano che siano già stati riconosciuti risarcimenti e non permettono di stabilire se eventuali future richieste avranno successo.
La lezione più ampia non riguarda soltanto l’entità della cifra. Le piattaforme possono usare sistemi automatizzati per individuare possibili abusi, ma quando una decisione incide concretamente sul reddito di una persona devono offrire trasparenza e garanzie che siano davvero utilizzabili. Il ricorso di Uber metterà alla prova il confine tra algoritmi che segnalano un rischio e decisioni che, di fatto, determinano chi può continuare a lavorare sulla piattaforma.