De boete van €825 miljoen voor Uber gaat niet over een datalek. De Nederlandse Autoriteit Persoonsgegevens (AP) stelt dat Uber geautomatiseerde systemen gebruikte om Europese chauffeurs te schorsen of hun account te deactiveren, zonder hen voldoende te informeren over de geautomatiseerde besluitvorming. Ook kregen zij volgens de toezichthouder geen betekenisvolle mogelijkheid voor menselijke herbeoordeling of bezwaar. De beslissing heeft betrekking op de periode van 2020 tot en met 2022.
1
3
6
Wat leidde tot de boete?
De zaak draait om software die beslissingen nam met directe gevolgen voor de mogelijkheid van chauffeurs om via het Uber-platform te werken. Volgens berichtgeving over het AP-besluit werden de systemen ingezet tegen chauffeurs die van fraude werden verdacht en tegen chauffeurs met lage klantbeoordelingen.
2
4
Bij vermoedens van fraude keek Uber onder meer naar signalen zoals ongebruikelijk lange ritten. Die konden wijzen op onnodige omwegen om het ritbedrag te verhogen. Ook konden ritten een signaal opleveren wanneer een chauffeur een rit accepteerde maar die volgens het systeem niet van plan was uit te voeren. De beschikbare berichtgeving noemt dit als gedrag dat Uber probeerde te detecteren, maar bewijst niet zelfstandig dat iedere gemarkeerde chauffeur zich daar daadwerkelijk schuldig aan maakte.
4
17
19
De kritiek van de toezichthouder gaat daarom niet alleen over de uitkomst, maar ook over de procedure. Een schorsing of deactivatie kan de inkomsten van een chauffeur direct raken. Volgens de AP kregen chauffeurs onvoldoende te horen dat een algoritme een rol speelde en was er geen effectieve route om de beslissing aan te vechten.
3
5
6
De AVG-vraag: een ingrijpende beslissing mag niet zomaar in een algoritme verdwijnen
De Algemene Verordening Gegevensbescherming (AVG), in het Engels de GDPR, stelt grenzen aan beslissingen die uitsluitend op geautomatiseerde verwerking zijn gebaseerd wanneer die juridische of vergelijkbaar ingrijpende gevolgen hebben. In situaties waarop die bescherming van toepassing is, kunnen waarborgen nodig zijn zoals daadwerkelijke menselijke tussenkomst en de mogelijkheid om de beslissing te betwisten.
3
4
Daar ligt de juridische betekenis van de Uber-zaak. Het geschil gaat niet simpelweg over de vraag of software verdachte activiteiten mag opsporen. De kernvraag is of een platform een geautomatiseerd proces mag laten bepalen dat iemand geen toegang meer krijgt tot werk, zonder duidelijke informatie, echte menselijke beoordeling en een praktische mogelijkheid tot heroverweging.
Als de boete in deze vorm standhoudt, zou het de op één na hoogste sanctie zijn die onder de AVG is opgelegd. Alleen de Ierse boete van €1,2 miljard voor Meta uit 2023 ligt hoger. Die zaak ging over de doorgifte van gegevens van Europese Facebook-gebruikers naar de Verenigde Staten en betrof dus een andere vermeende overtreding. Beide zaken laten wel zien hoe omvangrijk de Europese privacyhandhaving kan zijn.
3
6
14
Wat zegt Uber?
Uber betwist de conclusies van de AP en noemt de boete disproportioneel. Het bedrijf stelt dat de systemen rechtmatig waren en dat er menselijke controle was; volgens Uber was het proces dus niet volledig geautomatiseerd. Dat staat rechtstreeks tegenover de beschrijving van de schorsings- en deactivatieprocedure door de toezichthouder.
6
7
Uber wijst daarnaast op het relatief beperkte aantal chauffeurs dat vanwege lage klantbeoordelingen werd gedeactiveerd. Reuters meldde dat het bedrijf sprak over 126 Europese chauffeurs in 2021. Dat cijfer is hier weergegeven als het argument van Uber over de omvang van de zaak, niet als een onafhankelijk vastgesteld feit uit het beschikbare bronmateriaal.
8
9
Een eventueel beroep zal waarschijnlijk mede draaien om twee punten: hoeveel menselijke betrokkenheid er in werkelijkheid was bij de relevante beslissingen en of die betrokkenheid voldeed aan de AVG-eis van betekenisvolle controle. De beschikbare berichtgeving laat niet zien hoe een rechter of beroepsinstantie deze vragen uiteindelijk zal beantwoorden.
Waarom behandelde Nederland een zaak over chauffeurs in heel Europa?
De zaak begon met klachten van chauffeurs, waaronder een klacht uit Frankrijk, maar werd behandeld door de Nederlandse AP. Het gaat om een grensoverschrijdende AVG-zaak rond de Europese activiteiten van Uber.
17
20
Het beschikbare bronmateriaal bevat onvoldoende details om definitief vast te stellen waarom Nederland als leidende toezichthouder optrad. Daarom is het beter om de bevoegdheidskwestie niet terug te brengen tot één onbewezen verklaring. Wel staat vast dat de AP de Europese accountbeslissingen onderzocht en de boete oplegde voor de periode 2020–2022.
1
3
20
Wat gebeurt er nu?
Uber heeft aangekondigd in beroep te gaan. De beslissing van €825 miljoen is daarom niet noodzakelijk het definitieve bedrag dat het bedrijf zal moeten betalen.
6
7
9
Getroffen chauffeurs zouden mogelijk ook een schadevergoeding kunnen claimen als zij een onrechtmatige AVG-inbreuk, een verband met hun schorsing of deactivatie en concrete financiële schade kunnen aantonen. Uit de beschikbare informatie blijkt niet dat er al schadevergoedingen zijn toegekend. Ook staat niet vast dat toekomstige claims zullen slagen.
De bredere les is specifieker — en mogelijk belangrijker — dan het enorme boetebedrag: platforms mogen geautomatiseerde systemen gebruiken om vermoedelijk misbruik op te sporen, maar beslissingen die iemands inkomen wezenlijk raken vereisen transparantie en waarborgen waar mensen daadwerkelijk gebruik van kunnen maken. Het beroep van Uber kan duidelijk maken hoe streng die eisen moeten worden toegepast wanneer een bedrijf zegt dat algoritmen risico’s signaleren, maar dat mensen ergens in het proces betrokken blijven.