Waarom Uber een GDPR-boete van €825 miljoen krijgt voor geautomatiseerde chauffeursblokkades

Uber hangt een boete van €825 miljoen boven het hoofd wegens het geautomatiseerd schorsen of deactiveren van chauffeurs. Volgens de Nederlandse Autoriteit Persoonsgegevens (AP) informeerde het bedrijf betrokken chauffeurs niet voldoende en bood het niet de waarborgen die de GDPR vereist bij geautomatiseerde beslissingen met grote gevolgen. Het bedrag zou de op één na grootste GDPR-boete ooit zijn, na de boete van €1,2 miljard die de Ierse toezichthouder in 2023 aan Meta oplegde. Uber gaat in beroep, waardoor het bedrag nog kan veranderen.

Waar draaide de zaak om?

De kwestie ging niet alleen over algoritmen die mogelijk wangedrag opsporen. De systemen van Uber konden ook maatregelen in gang zetten tegen chauffeurs bij vermoedens van:

• tarief- of ritfraude;
• onnodige omwegen om het ritbedrag te verhogen;
• geaccepteerde ritten die volgens Uber niet waren uitgevoerd;
• lage beoordelingen door klanten.

Een schorsing of uitsluiting kon de toegang tot het platform beperken of volledig beëindigen. Daarmee kon de beslissing rechtstreeks gevolgen hebben voor de mogelijkheid van een chauffeur om inkomen te verdienen.

De GDPR bepaalt in het algemeen dat iemand niet uitsluitend op basis van geautomatiseerde verwerking aan een beslissing met aanzienlijke gevolgen mag worden onderworpen zonder passende bescherming. Daaronder vallen betekenisvolle menselijke tussenkomst, de mogelijkheid om het eigen standpunt toe te lichten en een echte manier om de beslissing aan te vechten.

Volgens de AP bood Uber die bescherming niet voldoende. Alleen achteraf melden dat een algoritme een beslissing heeft genomen, is niet genoeg wanneer een chauffeur niet kan begrijpen wat er is gebeurd of geen onafhankelijke herbeoordeling kan krijgen.

Waarom een ‘mens in de lus’ niet volstaat

Het cruciale onderscheid is dat tussen een medewerker die het bewijs zelfstandig opnieuw beoordeelt en iemand die slechts een automatisch resultaat bevestigt. In een verwante zaak oordeelde het gerechtshof in Amsterdam dat de door Uber aangevoerde menselijke controles vooral symbolisch waren. Het hof verwierp daarmee het beroep op een formele ‘human in the loop’.

Die eerdere uitspraak helpt verklaren waarom de zaak juridisch zo zwaar weegt. Menselijke betrokkenheid moet de uitkomst daadwerkelijk kunnen veranderen. Ze mag geen procedurele formaliteit zijn waarbij de algoritmische beslissing in de praktijk overeind blijft. Chauffeurs moeten bovendien genoeg informatie krijgen om de beslissing zinvol te kunnen betwisten.

Welke informatie ontbrak volgens de toezichthouder?

De AP stelde volgens berichtgeving over het besluit vast dat Uber betrokken chauffeurs niet duidelijk genoeg informeerde over het gebruik van geautomatiseerde processen voor schorsingen en deactiveringen. Daardoor konden zij moeilijk beoordelen waarom ze geen toegang meer hadden tot het platform en hoe zij de beslissing konden aanvechten.

Daarmee ontstonden twee samenhangende problemen:

• Het besluitvormingsprobleem: geautomatiseerde verwerking kon grote gevolgen hebben zonder voldoende menselijke tussenkomst.
• Het transparantieprobleem: chauffeurs kregen onvoldoende informatie over het geautomatiseerde proces en de gevolgen daarvan.

De zaak gaat dus zowel over de uitkomst als over de weg ernaartoe. Een bedrijf moet niet alleen kunnen uitleggen welke maatregel het heeft genomen, maar ook hoe iemand een echte herbeoordeling kan krijgen wanneer een geautomatiseerd systeem diens inkomen bedreigt.

Waarom behandelde Nederland een klacht uit Frankrijk?

De klacht kwam uit Frankrijk, maar de Nederlandse AP trad op als leidende toezichthouder omdat Uber zijn Europese hoofdkantoor in Nederland heeft. Binnen het zogenoemde één-loketmechanisme van de GDPR leidt de toezichthouder in het land waar een bedrijf zijn belangrijkste EU-vestiging heeft doorgaans grensoverschrijdende onderzoeken. Andere betrokken nationale toezichthouders kunnen daarbij deelnemen.

Deze aanpak moet voorkomen dat een multinational in elk EU-land met een volledig afzonderlijk hoofdonderzoek wordt geconfronteerd. Het verklaart ook hoe een klacht van Franse chauffeurs tot een besluit van de Nederlandse privacytoezichthouder kon leiden.

Hoe reageerde Uber?

Uber zegt in beroep te gaan en noemt zowel het besluit als de boete disproportioneel. Het bedrijf stelt dat chauffeurs menselijke beoordeling en de mogelijkheid om een schorsing aan te vechten krijgen. Volgens Uber waren schorsingen wegens vermoedelijke fraude tijdelijk en werden accounts niet permanent uitsluitend door automatisering gedeactiveerd.

Uber zegt daarnaast dat het inmiddels geen permanente deactiveringen meer uitvoert op basis van uitsluitend geautomatiseerde systemen. Dat is het standpunt van Uber; de boete heeft betrekking op de onderzochte praktijken in de relevante periode, voornamelijk 2020 tot en met 2022.

Wat betekent dit voor algoritmisch werkgeverschap?

De zaak laat zien waarom algoritmisch management in Europa steeds meer een privacy- én arbeidskwestie wordt. De systemen waren niet alleen bedoeld om advertenties te selecteren of klantgegevens te ordenen. Ze konden bepalen of iemand toegang hield tot een platform waarvan die persoon afhankelijk was voor inkomen.

De bredere les voor bedrijven is duidelijk: een beleid voor ‘menselijke controle’ is waarschijnlijk niet genoeg als beoordelaars de feiten niet zelfstandig kunnen onderzoeken, het verhaal van de betrokkene niet kunnen meewegen en een automatisch besluit niet kunnen terugdraaien. Bedrijven die geautomatiseerde systemen gebruiken voor toelating van werknemers, fraudedetectie, accountbeperkingen of uitsluiting moeten transparantie en de mogelijkheid tot bezwaar inbouwen op het moment dat zulke systemen iemands werk raken.

De zaak past bovendien in de bredere GDPR-geschiedenis van Uber in Nederland. In 2024 legde de Nederlandse toezichthouder het bedrijf afzonderlijk een boete van €290 miljoen op wegens het doorgeven van persoonsgegevens van Europese chauffeurs aan de Verenigde Staten. De boete van €1,2 miljard voor Meta ging ondertussen over de doorgifte van gegevens van Europese Facebook-gebruikers naar de VS, niet over het aansturen van werknemers.

Voorlopig staat het bedrag van €825 miljoen nog niet definitief vast zolang Uber beroep aantekent. De onderliggende boodschap is echter al helder: onder de GDPR mag algoritmisch management geen zwarte doos worden wanneer een beslissing iemands mogelijkheid om te werken kan wegnemen.