Uber może zapłacić 825 mln euro za automatyczne zawieszanie kierowców

RODO co do zasady zabrania poddawania osoby decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, jeśli decyzja wywołuje wobec niej istotne skutki. W takich przypadkach muszą istnieć odpowiednie zabezpieczenia: rzeczywista interwencja człowieka, możliwość przedstawienia swojego stanowiska oraz skuteczna droga zakwestionowania decyzji.

W ocenie regulatora procedury Ubera nie zapewniały tych praw w wystarczającym stopniu. Samo powiadomienie kierowcy po decyzji algorytmu nie wystarcza, jeśli nie może on zrozumieć, co się wydarzyło, i uzyskać niezależnej, rzeczywistej ponownej oceny sprawy.

Dlaczego „człowiek w pętli” nie wystarczył

Kluczowa jest różnica między człowiekiem, który samodzielnie analizuje dowody i może zmienić decyzję, a pracownikiem jedynie formalnie zatwierdzającym wynik systemu. W powiązanej sprawie Sąd Apelacyjny w Amsterdamie uznał, że deklarowane przez Ubera kontrole były symboliczne, i odrzucił argument oparty na nominalnym udziale człowieka w procesie decyzyjnym.

To wcześniejsze orzeczenie pomaga zrozumieć znaczenie obecnej decyzji AP. Kontrola człowieka musi być realna: osoba dokonująca weryfikacji powinna móc niezależnie ocenić fakty, wysłuchać wyjaśnień kierowcy i odwrócić wynik działania algorytmu. Nie może być wyłącznie formalnością, po której automatyczna decyzja pozostaje w praktyce nienaruszona. Kierowca musi też otrzymać wystarczające informacje, aby móc skutecznie się odwołać.

Czego kierowcy mieli nie wiedzieć

Według informacji opartych na decyzji regulatora Uber nie informował odpowiednio kierowców, że do zawieszenia lub dezaktywacji ich kont wykorzystywane są procesy automatyczne. Ta luka informacyjna miała znaczenie praktyczne: kierowcy nie mogli właściwie ocenić, dlaczego stracili dostęp do platformy ani jak zakwestionować decyzję leżącą u podstaw blokady.

Sprawa obejmuje więc dwa powiązane problemy:

• Problem decyzyjny: automatyczne przetwarzanie mogło prowadzić do poważnych konsekwencji bez odpowiedniej, niezależnej interwencji człowieka.
• Problem przejrzystości: kierowcy nie otrzymywali wystarczających informacji o tym, że algorytm wpływa na ich konto i możliwość pracy.

W praktyce firma musi wyjaśnić nie tylko, jakie działanie podjęła, lecz także w jaki sposób osoba dotknięta decyzją może uzyskać prawdziwą weryfikację, gdy automatyczny system zagraża jej dochodom.

Dlaczego sprawę z Francji prowadziła Holandia

Skarga pochodziła z Francji, ale sprawą zajęła się holenderska AP, ponieważ europejska siedziba Ubera znajduje się w Holandii. Wynika to z transgranicznego mechanizmu „one-stop shop” przewidzianego w RODO. Zasadniczo postępowanie prowadzi organ nadzorczy z kraju, w którym firma ma główną siedzibę w Unii Europejskiej, a organy z innych zainteresowanych państw mogą uczestniczyć w sprawie.

Mechanizm ma zapobiegać sytuacji, w której międzynarodowa firma musi mierzyć się z całkowicie odrębnymi postępowaniami w każdym kraju, w którym jej praktyki wywołują skutki. Wyjaśnia też, dlaczego skarga francuskich kierowców mogła doprowadzić do decyzji holenderskiego regulatora.

Jak odpowiada Uber

Uber zapowiedział odwołanie i określił decyzję oraz wysokość kary jako nieproporcjonalne. Firma twierdzi, że kierowcy mogą skorzystać z weryfikacji przez człowieka i zakwestionować zawieszenie konta. Uber przekonuje również, że blokady związane z podejrzeniem oszustwa miały charakter tymczasowy, a konta nie były trwale dezaktywowane wyłącznie automatycznie.

Firma poinformowała ponadto, że obecnie nie podejmuje decyzji o trwałej dezaktywacji wyłącznie na podstawie systemu automatycznego. Są to stanowiska Ubera. Kara AP dotyczy praktyk analizowanych za wskazany okres, przede wszystkim lat 2020–2022.

Szersze znaczenie dla zarządzania algorytmicznego

Decyzja pokazuje, dlaczego zarządzanie algorytmiczne staje się w Europie istotnym problemem nie tylko w obszarze prywatności, lecz także pracy. Systemy, których dotyczyła sprawa, nie służyły jedynie do personalizowania reklam czy porządkowania danych klientów. Mogły przesądzać o tym, czy pracownik nadal będzie miał dostęp do platformy zapewniającej mu dochód.

Wniosek dla firm jest konkretny: sama polityka „weryfikacji przez człowieka” może nie wystarczyć, jeśli kontrolerzy nie potrafią niezależnie przeanalizować faktów, uwzględnić wyjaśnień zainteresowanej osoby i cofnąć decyzji algorytmu. Przedsiębiorstwa wykorzystujące automatyzację przy rekrutacji pracowników, wykrywaniu oszustw, ograniczaniu dostępu do kont lub ich dezaktywacji powinny zadbać o przejrzystość i możliwość skutecznego odwołania — zwłaszcza gdy system wpływa na czyjeś utrzymanie.

Sprawa wpisuje się także w szerszą historię egzekwowania RODO wobec amerykańskich firm technologicznych działających w Europie. W 2024 roku holenderski organ osobno ukarał Ubera kwotą 290 mln euro za transfer danych osobowych europejskich kierowców do Stanów Zjednoczonych bez odpowiednich zabezpieczeń. Z kolei kara 1,2 mld euro wobec Meta dotyczyła transferu danych europejskich użytkowników Facebooka do USA, a nie zarządzania pracownikami.

Na tym etapie kwota 825 mln euro nie jest ostateczna, ponieważ Uber zamierza się odwołać. Przesłanie decyzji jest jednak jasne: w świetle RODO zarządzanie algorytmiczne nie może być czarną skrzynką, jeśli jego skutkiem może być utrata możliwości wykonywania pracy.