Dette handler ikke om et datainnbrudd. Den nederlandske personvernmyndigheten Autoriteit Persoonsgegevens (AP) mener Uber brukte automatiserte systemer til å suspendere eller deaktivere kontoene til europeiske sjåfører uten å informere dem godt nok om at algoritmer var involvert. Sjåførene skal heller ikke ha fått en reell mulighet til å få avgjørelsen vurdert av et menneske eller bestride den. Vedtaket gjelder praksis fra 2020 til 2022.
1
3
6
Hva utløste boten?
Saken dreier seg om programvare som tok beslutninger med direkte betydning for sjåførenes mulighet til å arbeide på Uber-plattformen. Ifølge omtalen av APs vedtak ble systemene brukt mot sjåfører som var mistenkt for svindel, og mot sjåfører med lave kundevurderinger.
2
4
Blant signalene Uber skal ha brukt i svindelkontrollen, var uvanlig lange turer. Det kunne tolkes som unødvendige omveier for å øke prisen passasjeren måtte betale. Systemene skal også ha reagert på turer som sjåføren hadde akseptert, men som vedkommende angivelig ikke hadde til hensikt å gjennomføre. Kildene beskriver dette som eksempler på atferd systemene skulle oppdage – ikke som dokumentasjon på at alle sjåfører som ble flagget, faktisk hadde gjort noe galt.
4
17
19
For AP var problemet dermed ikke bare hvilke kriterier Uber brukte, men også hvordan avgjørelsene ble tatt. En suspensjon eller permanent deaktivering kan få store konsekvenser for en sjåførs inntekt. Myndigheten mener sjåførene ikke fikk tilstrekkelig informasjon om den automatiserte behandlingen, og at den menneskelige oppfølgingen og klageadgangen ikke var god nok.
3
5
6
GDPR: Viktige avgjørelser kan ikke forsvinne inn i en algoritme
EUs personvernforordning, kjent som GDPR, setter grenser for avgjørelser som utelukkende bygger på automatisert behandling når de får rettslige eller på tilsvarende måte betydelige konsekvenser for en person. I slike situasjoner kan kravene blant annet innebære reell menneskelig inngripen og en mulighet til å bestride avgjørelsen.
3
4
Det er dette som gjør Uber-saken prinsipielt viktig. Spørsmålet er ikke nødvendigvis om en plattform kan bruke programvare til å oppdage mulig misbruk. Spørsmålet er om programvaren alene – eller i praksis uten meningsfull menneskelig kontroll – kan avgjøre at en person mister tilgangen til arbeidet sitt, uten tydelig informasjon og en klageordning som faktisk fungerer.
Boten vil være den nest største som er ilagt etter GDPR, bak Irlands bot på 1,2 milliarder euro mot Meta i 2023. Meta-saken gjaldt overføring av europeiske Facebook-brukeres data til USA, og omhandlet derfor et annet mulig regelbrudd. Begge sakene viser likevel hvor store bøter europeiske personvernmyndigheter kan ilegge teknologiselskaper.
3
6
14
Uber avviser kritikken
Uber er uenig i APs konklusjoner og mener boten er uforholdsmessig. Selskapet har argumentert for at systemene var lovlige og underlagt menneskelig kontroll, i stedet for å være fullstendig automatiserte. Det står i direkte kontrast til tilsynets beskrivelse av suspensjons- og deaktiveringsprosessen.
6
7
Uber har også vist til at relativt få sjåfører ble deaktivert på grunn av lave kundevurderinger. Reuters gjenga selskapets tall på 126 europeiske sjåfører i 2021. Tallet er Ubers argument for at omfanget ikke står i forhold til botens størrelse, og er ikke et uavhengig fastslått funn i det tilgjengelige kildematerialet.
8
9
En eventuell anke vil derfor blant annet kunne dreie seg om hvor mye menneskelig kontroll som faktisk fant sted, og om denne kontrollen oppfylte GDPRs krav til en reell og meningsfull vurdering. Det tilgjengelige materialet sier ikke hvordan disse spørsmålene vil bli avgjort.
Hvorfor behandlet Nederland en sak om sjåfører i flere europeiske land?
Saken startet med klager fra sjåfører, blant annet en klage fra Frankrike, men ble behandlet av det nederlandske AP. Omtalen beskriver den som en grensekryssende GDPR-sak knyttet til Ubers europeiske virksomhet.
17
20
Det tilgjengelige kildematerialet gir ikke nok informasjon til å slå fast nøyaktig hvorfor Nederland ble ledende tilsynsmyndighet. Det er derfor tryggere å ikke redusere jurisdiksjonsspørsmålet til én ubekreftet forklaring. Det som er klart, er at AP undersøkte Ubers avgjørelser om europeiske sjåførkontoer og ila boten for perioden 2020–2022.
1
3
20
Hva skjer nå?
Uber har sagt at selskapet vil anke. Det betyr at boten på 825 millioner euro ikke nødvendigvis er endelig, og at beløpet kan bli endret etter en klagebehandling.
6
7
9
Berørte sjåfører kan også forsøke å kreve erstatning dersom de kan dokumentere et ulovlig GDPR-brudd, en sammenheng mellom bruddet og suspensjonen eller deaktiveringen, samt et konkret økonomisk tap. Det finnes foreløpig ingen dokumentasjon i det tilgjengelige materialet på at erstatning er tilkjent, eller på at framtidige krav vil føre fram.
Den viktigste lærdommen er derfor mer presis enn den enorme botssummen alene: Plattformer kan bruke automatiserte systemer til å oppdage mulig misbruk, men avgjørelser som i praksis kan frata noen inntektsmulighetene, krever åpenhet og sikkerhetsmekanismer som mennesker faktisk kan bruke. Ubers anke vil teste hvor strengt disse kravene skal håndheves når selskapet sier at algoritmer finner risikoen, mens mennesker fortsatt er involvert et sted i prosessen.