Derfor får Uber en GDPR-bot på 825 millioner euro

Det nederlandske datatilsynet, Autoriteit Persoonsgegevens (AP), har ilagt Uber en bot på 825 millioner euro – omtrent 966 millioner dollar – for brudd på EUs personvernforordning GDPR. Saken gjelder automatiserte beslutninger som påvirket europeiske sjåførers tilgang til plattformen mellom 2020 og 2022. 12

Uber bestrider deler av vedtaket og mener boten er uforholdsmessig. Selskapet har varslet at det vil anke. 1

Hva fant det nederlandske datatilsynet?

Ifølge AP brukte Uber automatiserte systemer til å suspendere sjåfører som ble mistenkt for svindel, og til å deaktivere enkelte sjåførkontoer permanent på grunn av lave kundevurderinger. Beslutningene kunne tas – eller utløses – uten en meningsfull menneskelig gjennomgang. Sjåførene fikk heller ikke god nok informasjon om hvordan automatiserte avgjørelser påvirket kontoene deres. 145

Det avgjørende var ikke bare at Uber brukte programvare til å oppdage mulig svindel eller vurdere tjenestekvalitet. Myndighetenes bekymring var at systemene kunne avgjøre om en sjåfør fortsatt fikk tilgang til plattformen – og dermed om personen kunne fortsette å tjene penger gjennom Uber.

Signaler i svindelkontrollen skal blant annet ha vært uvanlig lange turer, som kunne tolkes som unødvendige omveier, og at en sjåfør aksepterte turer vedkommende ikke hadde til hensikt å gjennomføre. 5

Hvorfor er dette alvorlig etter GDPR?

GDPR begrenser avgjørelser som utelukkende bygger på automatisert behandling når de får rettslige virkninger eller på annen måte påvirker en person betydelig. Det nederlandske datatilsynet omtaler dette som retten til et «menneskelig blikk» i avgjørelser med store konsekvenser.

For en Uber-sjåfør er det langt mer alvorlig å miste tilgangen til plattformen enn å få endret en vanlig kontoinnstilling. En midlertidig suspensjon kan stanse inntektene i en periode, mens en permanent deaktivering kan gjøre det umulig å jobbe gjennom plattformen. Det er denne virkningen på levebrødet som gjorde at AP vurderte avgjørelsene som betydelige – ikke som rutinemessige driftsbeslutninger. 45

Når en automatisert avgjørelse likevel er tillatt etter GDPR, skal det finnes beskyttelsestiltak. Det kan blant annet innebære tydelig informasjon om prosessen, mulighet til å be om menneskelig inngripen og en reell anledning til å bestride resultatet.

Slik startet saken

Saken begynte med klager fra franske sjåfører. Den tidligere Uber-sjåføren Brahim Ben Ali samlet forklaringer fra rundt 170 berørte sjåfører, med hjelp fra den sveitsiske organisasjonen PersonalData.io, som arbeider med digitale rettigheter. Tilgjengelig omtale viser til 171 franske klagere. 413

At saken ble behandlet i Nederland, skyldes at Ubers relevante europeiske virksomhet og GDPR-ordning for tilsyn var knyttet til Nederland. Det gjorde det mulig for det nederlandske tilsynet å håndtere en grensekryssende sak som gjaldt sjåfører i et annet europeisk land. 17

Saken viser også hvordan enkeltpersoners klager kan avdekke hvordan store algoritmiske systemer fungerer i praksis. Sjåførene ba om innsyn i beslutninger som påvirket kontoene deres. Undersøkelsen handlet derfor ikke bare om resultatet i enkeltsaker, men også om hvordan Ubers automatiserte beslutningssystem var bygget opp. 13

Hvor stor er boten sammenlignet med andre GDPR-saker?

Boten på 825 millioner euro omtales som den nest største som er ilagt etter GDPR. Den er bare overgått av boten på 1,2 milliarder euro mot Meta. 12

Den nye boten er også betydelig større enn Ubers tidligere nederlandske GDPR-bot på 290 millioner euro. Den saken gjaldt overføring av europeiske sjåførers personopplysninger til USA, ikke automatiserte beslutninger om kontotilgang.

Sak	Bot	Hovedproblem
Ubers sak om automatiserte sjåføravgjørelser	825 millioner euro	Automatiserte suspensjoner og deaktiveringer uten god nok informasjon eller menneskelig kontroll 12
Ubers tidligere GDPR-sak i Nederland	290 millioner euro	Overføring av europeiske sjåførers personopplysninger til USA
Metas rekordbot etter GDPR	1,2 milliarder euro	Overføring av Facebook-brukeres data til USA 110

Selve boten er en regulatorisk sanksjon. Den betyr ikke automatisk at individuelle sjåfører får erstatning for tapt inntekt.

Kan sjåførene få erstatning?

Organisasjoner som arbeider med digitale rettigheter har omtalt vedtaket som et mulig grunnlag for et kollektivt søksmål mot Uber. PersonalData.io har ifølge Reuters sagt at organisasjonen forbereder et gruppesøksmål med krav om erstatning. 13

Et slikt søksmål vil være separat fra boten AP har ilagt. Sjåførene må fortsatt dokumentere grunnlaget for et eventuelt krav og hvor stort tapet er. Boten i seg selv utløser ingen automatisk utbetaling. 713

Ubers svar og planlagte anke

Uber sier selskapet er sterkt uenig i vedtaket og mener boten er uforholdsmessig. Selskapet bestrider enkelte faktiske funn og størrelsen på sanksjonen, og vil anke. 13

Uber har også sagt at praksisen som ble kritisert, ble avsluttet i 2021–2022. Selskapet hevder at dagens rutiner innebærer menneskelig vurdering og klagemuligheter. Uber har dessuten argumentert for at de fleste suspensjoner er kortvarige, og at permanente deaktiveringer ikke skjer uten menneskelig medvirkning. 17

Dette er Ubers egen framstilling, mens APs vedtak gjelder historisk praksis i perioden som ble undersøkt. En anke kan derfor avgjøre hvilke deler av tilsynets vurdering og boten som til slutt blir stående.

Et varsko for algoritmisk arbeidsledelse

Saken flytter personverndebatten utover de vanlige spørsmålene om hvor data lagres og hvem som får tilgang til dem. Den viser hvordan GDPR også kan brukes når personopplysninger og profilering inngår i systemer som styrer tilgangen til arbeid, inntekt eller økonomiske muligheter på en plattform. 14

For teknologiselskaper og aktører i plattformøkonomien er budskapet tydelig: Svindelkontroll, kundevurderinger og håndheving av kontoregler kan ikke behandles som konsekvensfri automatisering. Selskapene må kunne forklare hvordan avgjørelser blir tatt, informere de berørte, tilby en reell menneskelig ny vurdering og gi dem en effektiv måte å bestride avgjørelsen på.

Den største regulatoriske risikoen oppstår når programvare kan gjøre en arbeidstaker midlertidig eller permanent ute av stand til å tjene penger. Da er det ikke nødvendigvis nok at en person formelt «ser på saken» i etterkant. Den menneskelige vurderingen må kunne undersøke grunnlaget, oppdage feil og faktisk endre avgjørelsen når bevisene eller omstendighetene tilsier det.