Derfor risikerer Uber en GDPR-bot på 825 millioner euro for automatiserte sjåførsperringer

APs konklusjon ser ut til å være at Ubers prosess ikke ga disse rettighetene på en tilstrekkelig måte. Det er ikke nok å sende et varsel etter at algoritmen har tatt avgjørelsen dersom sjåføren verken forstår hva som skjedde eller får en uavhengig ny vurdering.

«Menneske i loopen» var ikke nok

Det avgjørende skillet går mellom en person som selv kan undersøke saken og endre resultatet, og en saksbehandler som i praksis bare godkjenner algoritmens konklusjon.

I en relatert sak fant ankedomstolen i Amsterdam at Ubers påståtte menneskelige kontroller var symbolske. Retten avviste dermed selskapets henvisning til en såkalt «human in the loop» – altså at et menneske formelt er koblet inn i prosessen.

Dette bidrar til å forklare den juridiske betydningen av den nye saken. Menneskelig medvirkning må kunne påvirke utfallet. Den kan ikke være en ren formalitet som lar algoritmens avgjørelse stå urørt. Sjåføren må dessuten få nok informasjon om grunnlaget til å kunne utfordre avgjørelsen på en meningsfull måte.

Hva sjåførene skal ha fått for lite informasjon om

Ifølge omtalen av APs vedtak informerte Uber ikke de berørte sjåførene godt nok om at automatiserte prosesser ble brukt til å suspendere eller deaktivere kontoer. De fikk heller ikke tilstrekkelig innsikt i hvordan prosessen påvirket dem.

Det skaper to separate, men nært forbundne problemer:

• Avgjørelsen: Automatisert behandling kunne få store konsekvenser uten tilstrekkelig menneskelig vurdering.
• Åpenheten: Sjåførene ble ikke godt nok informert om den automatiserte prosessen eller konsekvensene av den.

Poenget er derfor ikke bare hva Uber gjorde, men også hvordan avgjørelsen ble tatt. Når et automatisert system kan true inntektsgrunnlaget til en person, må selskapet kunne forklare både grunnlaget for tiltaket og hvordan sjåføren kan få saken vurdert på nytt.

Hvorfor behandlet Nederland en fransk klage?

Klagen kom opprinnelig fra Frankrike, men saken ble ledet av det nederlandske datatilsynet fordi Ubers europeiske hovedkontor ligger i Nederland. GDPRs ordning for grenseoverskridende saker – ofte kalt «one-stop shop» – innebærer at tilsynsmyndigheten i landet der et selskap har sitt viktigste EU-etableringssted, normalt leder saken. Andre berørte nasjonale tilsyn kan delta.

Ordningen skal hindre at et multinasjonalt selskap møter helt separate hovedundersøkelser i hvert EU-land der virksomheten har virkninger. Den forklarer også hvorfor en klage fra franske sjåfører kan ende med et vedtak fra nederlandske myndigheter.

Ubers svar: Anker og avviser kritikken

Uber sier at selskapet vil anke og mener både vedtaket og boten er uforholdsmessige. Selskapet har samtidig sagt at sjåførene får menneskelig vurdering og mulighet til å bestride suspensjoner. Uber hevder også at suspensjoner ved mistanke om svindel var midlertidige, og avviser at kontoer ble deaktivert permanent utelukkende gjennom automatisering.

Uber har videre opplyst at selskapet ikke lenger tar beslutninger om permanent deaktivering basert kun på automatiserte systemer. Dette er Ubers beskrivelse av praksisen. APs bot gjelder perioden som ble undersøkt, hovedsakelig 2020–2022.

Et varsko for algoritmisk arbeidsledelse

Saken viser hvorfor algoritmisk arbeidsledelse har blitt et stadig viktigere personvern- og arbeidslivsspørsmål i Europa. Systemene var ikke bare verktøy for annonsering eller sortering av rutinedata. De kunne avgjøre om en person fortsatt fikk tilgang til en plattform som ga vedkommende inntekt.

Lærdommen for selskaper er at en generell policy om «menneskelig vurdering» neppe er nok dersom saksbehandlerne ikke kan undersøke fakta selv, høre den berørte personens forklaring og omgjøre en automatisert avgjørelse. Virksomheter som bruker automatiserte systemer til rekruttering, svindelkontroll, kontobegrensninger eller deaktivering, må ta hensyn til både åpenhet og klagemuligheter når systemene får betydning for folks arbeid.

Vedtaket føyer seg også inn i Ubers GDPR-historikk i Nederland. I 2024 ga det nederlandske tilsynet selskapet en separat bot på 290 millioner euro for overføring av europeiske sjåførers personopplysninger til USA. Metas bot på 1,2 milliarder euro gjaldt på sin side overføring av europeiske Facebook-brukeres data til USA – ikke automatisert styring av arbeidstakere.

825 millioner euro er foreløpig ikke et endelig resultat så lenge Uber anker. Men hovedbudskapet er allerede tydelig: Etter GDPR kan automatisert arbeidsledelse ikke være en svart boks når systemets avgjørelser kan frata noen muligheten til å jobbe.