なぜUberはドライバーのアカウント停止をめぐり、825億ユーロの制裁金に直面しているのか

Uberは、ドライバーのアカウント停止や無効化に自動システムを使い、影響を受けた人への説明や実質的な異議申し立ての機会が不十分だったとして、オランダのデータ保護当局（AP）から8億2500万ユーロの制裁金を科されました。Uberは不服申し立てを行う方針で、金額や処分内容は今後変わる可能性があります。この制裁金が確定すれば、2023年にアイルランド当局がMetaに科した12億ユーロに次ぐ、GDPR史上2番目に大きな制裁となります。

争点は「アルゴリズム」そのものではなく、生活に直結する判断

問題となったのは、単にアルゴリズムで不正の可能性を検出していたことではありません。Uberのシステムは、次のようなケースでドライバーの利用停止やアカウント無効化につながる判断をしていました。

• 運賃の不正取得が疑われるケース
• 運賃をつり上げるために不必要な迂回をしたとされるケース
• 受諾した配車を完了しなかったとされるケース
• 乗客からの評価が低いケース

こうした措置は、ドライバーがUberを通じて働き、収入を得る可能性を制限したり、失わせたりするおそれがあります。つまり、広告の表示順やおすすめ機能のような軽微な自動処理ではなく、個人の生計に大きな影響を及ぼす「高リスクの自動判断」だった点が重要です。

GDPR（EU一般データ保護規則）では、本人に重大な影響を与える判断を、原則として自動処理だけで下すことは認められていません。例外的に自動判断が使われる場合でも、実質的な人間の関与、本人の意見を述べる機会、判断に異議を申し立てる手段などの保護措置が必要です。

APは、Uberの手続きがこうした要件を十分に満たしていなかったと判断したとみられます。アルゴリズムが判断した後に通知するだけでは不十分です。ドライバーが何を理由に停止されたのかを理解でき、独立した再審査を受けられなければ、異議申し立ては形だけになってしまいます。

「人間が関与していればよい」わけではない

この問題で鍵になるのが、「human in the loop（人間が関与する仕組み）」の中身です。

人間の担当者が証拠を独立して確認し、必要ならアルゴリズムの結論を覆せるのであれば、実質的な審査といえます。一方、自動判定をほぼそのまま追認するだけなら、手続き上は人間が関与していても、実際には意味のある再審査とはいえません。

関連する別の訴訟では、アムステルダム控訴裁判所がUberの「人間による審査」への依拠を退けました。裁判所は、実際の状況から見て審査が象徴的な行為にとどまっていたと判断しています。

この判断は、今回のAPの措置を理解するうえでも重要です。人間による審査は、結果を変更できるものでなければなりません。単にチェック欄を埋めるだけの手続きでは、GDPRが求める保護には届かない可能性があります。また、ドライバーが反論できる程度の情報を提供することも必要です。

ドライバーへの説明にも問題があった

APは、Uberが停止やアカウント無効化に自動処理を使っていることを、影響を受けたドライバーに十分伝えていなかったと判断しました。規制当局の決定に基づく報道によると、ドライバーはアクセスを失った理由や、その判断にどう異議を申し立てればよいのかを適切に把握できない状況に置かれていました。

ここには、2つの問題が重なっています。

• 判断方法の問題： 重大な結果をもたらす自動処理に、十分な人間の関与がなかったこと
• 透明性の問題： 自動処理が使われ、その結果としてどのような影響が生じたのか、ドライバーへの説明が不十分だったこと

企業には、どのような措置を取ったかだけでなく、収入や就労機会を脅かす自動判断について、本人がどのように実質的な再審査を受けられるのかまで説明することが求められます。

なぜフランスの申し立てをオランダ当局が扱ったのか

今回の申し立てはフランスで始まりました。しかし、案件を主導したのはオランダのAPです。Uberの欧州本部がオランダにあるためです。

GDPRには、EU域内をまたぐ案件について、企業の主要なEU拠点がある国の監督当局が「主導監督機関」として調査を進める、いわゆるワンストップショップの仕組みがあります。他国の当局も関与しますが、企業が事業を展開する国ごとに別々の主導調査を受けることを避ける制度です。

そのため、フランスのドライバーから出された申し立てが、オランダの規制当局による決定につながりました。

Uberはどう反論しているのか

Uberは、今回の決定と制裁金は「過大」だとして、不服申し立てを行うと表明しています。会社側は、停止に対する人間による審査と、異議を申し立てる権利を提供していると説明しています。

また、不正が疑われた場合の停止は一時的な措置だったとし、アカウントを人間の審査なしに恒久的に無効化したわけではないと反論しています。Uberはさらに、現在では自動システムだけを根拠に恒久的な無効化を決めていないとしています。

これらはUber側の主張です。APが問題にしたのは、主に2020年から2022年にかけて調査対象となった運用であり、現在の制度についての説明と、当時の運用に対する規制当局の判断は分けて考える必要があります。

アルゴリズムによる労務管理に広がる影響

今回の処分は、欧州で「アルゴリズムによる労務管理」がプライバシーと雇用の両面で重要な論点になっていることを示しています。自動システムが不正検知、採用、アカウント制限、契約終了などに使われ、その結果として働く機会や収入を失わせる可能性があるなら、企業は透明性と異議申し立ての仕組みを設計段階から検討しなければなりません。

特に、「人間による審査がある」という社内ルールだけでは不十分です。担当者が事実関係を独立して確認し、本人の説明を聞き、必要に応じて自動判定を覆せることが重要になります。

今回の件は、米国系テクノロジー企業に対する欧州のGDPR執行が、個人データの域外移転だけでなく、プラットフォーム上の働き方や収入に関わる意思決定にも及んでいることも示しています。Metaが2023年に受けた12億ユーロの制裁は、欧州のFacebook利用者のデータを米国へ移転したことが主な対象でした。一方、Uberは2024年にも、欧州のドライバーの個人データを米国へ移転したとして、オランダ当局から2億9000万ユーロの制裁金を科されています。

8億2500万ユーロという金額は、Uberの不服申し立てが続く間は確定していません。それでも、今回の案件が突きつけるメッセージは明確です。GDPRの下では、アルゴリズムによる管理が、誰かの働く権利や収入を左右する場面で「ブラックボックス」のまま放置されることは許されにくくなっています。