なぜUberは825百万ユーロのGDPR制裁金を科されたのか

オランダのデータ保護当局（AP）は、Uberが2020年から2022年にかけて欧州のドライバーに影響する判断を自動化していたとして、825百万ユーロ（約9億6600万ドル）の制裁金を科しました。APによると、Uberは自動システムがアカウントの停止や無効化に関与したことをドライバーに十分説明せず、適切な人による監督も提供していませんでした。12

Uberは、決定の一部と制裁金の規模に異議を唱えており、上訴する方針です。1

オランダ当局が問題視したこと

APの決定によると、Uberは詐欺の疑いがあるドライバーを一時的に停止し、顧客評価が低い一部のドライバーについてはアカウントを恒久的に無効化するため、自動システムを使っていました。こうしたシステムは、十分な人による審査を伴わずに判断を下したり、判断のきっかけになったりすることがあり、影響を受けたドライバーには自動化の仕組みが十分に知らされていなかったとされています。145

問題は、Uberが不正検知やサービス品質の評価にソフトウェアを使ったことだけではありません。自動処理の結果によって、ドライバーがプラットフォームを使い続けられるか、つまりUberを通じて収入を得られるかが決まっていた点が、当局の核心的な懸念でした。

不正検知に使われたシグナルとしては、通常より長い乗車時間が不要な迂回を示す可能性や、ドライバーが乗るつもりのない配車を受け入れたことなどが報じられています。5

なぜGDPR上の「重大な判断」なのか

EUの一般データ保護規則（GDPR）は、法的効果や、それに準じる重大な影響をもたらす場合、個人データの完全に自動化された処理だけに基づく判断を原則として制限しています。オランダ当局は、こうした場面で本人が「人による判断」を求められる権利を説明しています。

ドライバーにとって、Uberへのアクセスを失うことは、単なるアプリ機能の変更とは意味が異なります。一時停止でも収入が途切れる可能性があり、恒久的な無効化なら、プラットフォームを通じて働く道そのものを失うおそれがあります。この生活への影響を理由に、当局はアカウント上の措置を通常の業務上の処理ではなく、重大な判断として扱いました。45

GDPRの下で自動判断が認められる場合でも、企業には通常、判断の仕組みを明確に説明すること、本人が人による介入を求められること、そして結果に実質的に異議を申し立てられる機会を設けることが求められます。

きっかけはフランスのドライバーからの申し立て

この事件は、フランスのドライバーたちによる申し立てから始まりました。元Uberドライバーのブラヒム・ベン・アリ氏は、約170人の影響を受けたドライバーから証言を集め、スイスのデジタル権利団体PersonalData.ioの支援を受けました。報道で確認されているフランスの申立人は171人です。413

調査をオランダのAPが担当したのは、Uberの欧州関連事業とGDPR上の監督体制がオランダを拠点としていたためです。これにより、別のEU加盟国であるフランスのドライバーが関係する越境案件でも、オランダ当局が対応できました。17

この経緯は、個人の申し立てが大規模なアルゴリズムの運用実態を明らかにし得ることも示しています。ドライバーたちは自分のアカウントに関する判断の情報を求め、その結果、個別の停止措置だけでなく、Uberの自動判断システム全体の仕組みが調査対象になりました。13

制裁金の規模はどれほど大きいのか

825百万ユーロの制裁金は、EUのGDPRに基づくものとして、Metaに科された12億ユーロに次ぐ2番目の規模だと報じられています。12

また、欧州のドライバーの個人データを米国へ移転したことをめぐりUberが過去にオランダで科された2億9000万ユーロの制裁金も大幅に上回ります。今回の案件は、データ移転ではなく、自動化されたアカウント判断が中心です。

事件	制裁金	主な問題
Uberの自動判断をめぐる案件	825百万ユーロ	十分な説明や人による監督を伴わない自動停止・無効化 12
Uberの過去のオランダGDPR案件	2億9000万ユーロ	欧州のドライバーの個人データを米国へ移転
MetaのGDPR最高額案件	12億ユーロ	Facebook利用者のデータを米国へ移転 110

なお、この制裁金は規制当局による行政上の処分です。個々のドライバーに失われた収入を自動的に補償するものではありません。

ドライバーへの補償につながる可能性はあるのか

デジタル権利の擁護団体は、今回の判断がUberに対する集団的な法的措置や補償請求の足がかりになる可能性があるとみています。Reutersが引用した報道によると、PersonalData.ioは集団訴訟の準備を進めているとしています。13

ただし、こうした動きはAPによる制裁金とは別の手続きです。ドライバー側は、個人または集団として補償を請求する法的根拠と損害の範囲を、別途立証する必要があります。規制当局の制裁金だけで、ドライバーへの支払いが自動的に発生するわけではありません。713

Uberは上訴へ、現在の手続きは改善したと主張

Uberは決定に強く反対し、制裁金は不相当だと表明しています。会社側は事実認定の一部と金額に異議を唱え、上訴する方針です。13

Uberはまた、問題となった方針は2021年から2022年にかけて廃止されたと説明しています。現在の手続きには人による審査と不服申し立てのルートがあり、停止の大半は短期間で、恒久的な無効化が人の関与なしに行われることはないと主張しています。17

これらはUber側の説明です。一方、APの判断が対象にしているのは、調査で検証された過去の運用です。今後の上訴では、どの事実認定と制裁金の要素が最終的に維持されるかが争点になります。

この判断がアルゴリズムによる労務管理に示すこと

今回の事件は、欧州のプライバシー規制がデータの収集や保管だけでなく、個人データやプロファイリングを使って、仕事や収入、プラットフォーム上の経済的機会へのアクセスを左右する仕組みにも及ぶことを示しています。14

テクノロジー企業やギグエコノミー企業にとって、実務上の教訓は明確です。不正検知、評価システム、アカウント制裁を「結果を伴わない自動化」として扱うことはできません。企業は、判断の仕組みを説明し、影響を受ける人に通知し、実質的な人による再審査を提供し、結果を争う有効な手段を用意できるようにする必要があります。

特に、ソフトウェアによって働くことが一時的、あるいは恒久的に不可能になる場合、形式だけの審査では不十分になり得ます。人による介入は、証拠や個別事情を実際に検討し、必要であれば元の判断を変更できるものでなければなりません。