Uber z karą 825 mln euro za automatyczne zawieszanie kierowców

Holenderski organ ochrony danych (Autoriteit Persoonsgegevens, AP) nałożył na Ubera karę w wysokości 825 mln euro — około 966 mln dolarów — za naruszenia unijnego ogólnego rozporządzenia o ochronie danych, czyli RODO. Sprawa dotyczyła automatycznych decyzji podejmowanych wobec europejskich kierowców w latach 2020–2022. 12

Według regulatora systemy Ubera mogły tymczasowo zawieszać kierowców podejrzewanych o oszustwa, a także trwale dezaktywować konta na podstawie niskich ocen klientów. Kierowcy nie byli odpowiednio informowani o wykorzystaniu automatycznego podejmowania decyzji, a w wielu przypadkach zabrakło znaczącej kontroli człowieka. 145

Uber kwestionuje część ustaleń oraz wysokość kary i zapowiada odwołanie. 1

Co zarzucił Uberowi holenderski regulator?

Problemem nie było samo używanie oprogramowania do wykrywania potencjalnych oszustw czy oceny jakości usług. Kluczowe znaczenie miało to, że automatyczne przetwarzanie danych mogło zdecydować, czy kierowca nadal będzie miał dostęp do platformy, a więc czy będzie mógł za jej pośrednictwem zarabiać.

AP wskazał, że Uber wykorzystywał systemy, które mogły:

• tymczasowo zawieszać kierowców podejrzewanych o nadużycia,
• trwale dezaktywować konta kierowców z niskimi ocenami klientów,
• podejmować lub uruchamiać takie decyzje bez odpowiedniej ingerencji człowieka,
• nie wyjaśniać kierowcom w wystarczający sposób, jak działał proces automatycznej oceny. 145

Wśród sygnałów wykorzystywanych przy wykrywaniu oszustw miały znajdować się między innymi nietypowo długie przejazdy, mogące sugerować niepotrzebne objazdy, oraz przyjmowanie kursów, których kierowca nie zamierzał realizować. 5

Dlaczego RODO uznaje takie decyzje za szczególnie poważne?

RODO ogranicza podejmowanie decyzji opartych wyłącznie na automatycznym przetwarzaniu danych, jeśli wywołują one skutki prawne lub w podobny sposób istotnie wpływają na daną osobę. Holenderski organ opisuje związane z tym uprawnienie jako prawo do „ludzkiego spojrzenia” na decyzję.

Utrata dostępu do Ubera nie jest zwykłą zmianą funkcji konta. Tymczasowe zawieszenie może przerwać przychody, a trwała dezaktywacja może uniemożliwić kierowcy dalszą pracę za pośrednictwem platformy. To właśnie wpływ na możliwość zarabiania sprawił, że regulator potraktował te decyzje jako istotne, a nie jako rutynowe działania operacyjne. 45

Jeśli automatyczna decyzja jest dopuszczalna na gruncie RODO, firma powinna zapewnić odpowiednie zabezpieczenia. Mogą one obejmować jasną informację o sposobie działania systemu, możliwość zażądania interwencji człowieka oraz realną możliwość zakwestionowania wyniku.

Sama formalna ścieżka odwoławcza może nie wystarczyć. Człowiek dokonujący weryfikacji powinien mieć możliwość przeanalizowania sprawy i zmiany decyzji, jeśli przemawiają za tym dowody lub okoliczności.

Jak zaczęła się sprawa i dlaczego zajęła się nią Holandia?

Postępowanie rozpoczęło się od skarg francuskich kierowców. Były kierowca Ubera Brahim Ben Ali zebrał relacje około 170 osób, którym dotknęły decyzje dotyczące ich kont. W działaniach pomagała szwajcarska organizacja zajmująca się prawami cyfrowymi PersonalData.io. Dostępne relacje mówią o 171 francuskich skarżących. 413

Sprawę prowadził holenderski AP, ponieważ odpowiednie europejskie operacje Ubera i ustalenia dotyczące głównego organu nadzorczego RODO były związane z Holandią. Dzięki temu holenderski regulator mógł zająć się transgraniczną sprawą dotyczącą kierowców z innego państwa Unii Europejskiej. 17

Postępowanie pokazuje również, jak pojedyncze skargi mogą ujawnić sposób działania algorytmów używanych przez duże platformy. Kierowcy domagali się informacji o decyzjach wpływających na ich konta, a dochodzenie objęło nie tylko poszczególne zawieszenia, lecz także strukturę automatycznego systemu decyzyjnego Ubera. 13

Jak wysoka jest kara?

825 mln euro to — według dostępnych doniesień — druga najwyższa kara nałożona dotychczas na podstawie RODO w Unii Europejskiej. Wyższa była kara w wysokości 1,2 mld euro nałożona na Meta. 12

Nowa sankcja jest także znacznie wyższa od wcześniejszej kary Ubera w Holandii, wynoszącej 290 mln euro. Tamta sprawa dotyczyła przekazywania danych osobowych europejskich kierowców do Stanów Zjednoczonych, a nie automatycznych decyzji o dostępie do kont.

Sprawa	Kara	Główny problem
Automatyczne decyzje wobec kierowców Ubera	825 mln euro	Zawieszanie i dezaktywowanie kont bez odpowiedniej informacji i kontroli człowieka 12
Wcześniejsza kara Ubera w Holandii	290 mln euro	Przekazywanie danych europejskich kierowców do USA
Rekordowa kara wobec Meta	1,2 mld euro	Przekazywanie danych użytkowników Facebooka do USA 110

Kara jest sankcją administracyjną nałożoną przez regulatora. Nie oznacza automatycznej wypłaty odszkodowań kierowcom za utracone zarobki.

Czy kierowcy mogą otrzymać odszkodowania?

Organizacje zajmujące się prawami cyfrowymi uznały decyzję za możliwy punkt wyjścia do zbiorowego postępowania przeciwko Uberowi. PersonalData.io przekazała, że przygotowuje pozew zbiorowy o odszkodowania dla kierowców — informowała agencja Reuters. 13

Taka sprawa byłaby niezależna od kary nałożonej przez AP. Kierowcy nadal musieliby wykazać podstawę roszczeń oraz wysokość poniesionej szkody. Sama decyzja regulatora nie tworzy automatycznego prawa do wypłaty pieniędzy. 713

Co odpowiada Uber?

Uber oświadczył, że zdecydowanie nie zgadza się z decyzją i uważa karę za nieproporcjonalną. Firma kwestionuje niektóre ustalenia faktyczne oraz wysokość sankcji i zamierza się odwołać. 13

Spółka twierdzi również, że zakwestionowane zasady zostały wycofane w latach 2021–2022. Według Ubera obecne procedury obejmują weryfikację przez człowieka oraz ścieżki odwoławcze. Firma argumentuje też, że większość zawieszeń trwa krótko, a trwałe dezaktywacje nie są przeprowadzane bez udziału człowieka. 17

To stanowisko Ubera, podczas gdy ustalenia AP dotyczą historycznych praktyk analizowanych w decyzji. Ostateczny wynik odwołania może więc przesądzić, które elementy ustaleń i kary pozostaną w mocy.

Co ta decyzja oznacza dla zarządzania algorytmicznego?

Sprawa wykracza poza dobrze znane pytania o to, jakie dane firmy zbierają i gdzie je przechowują. Pokazuje, że RODO może mieć zastosowanie również wtedy, gdy dane osobowe i profilowanie służą do kontrolowania dostępu do pracy, dochodu lub możliwości gospodarczych oferowanych przez platformę. 14

Dla firm technologicznych i przedsiębiorstw działających w gospodarce platformowej wniosek jest jasny: systemy wykrywania oszustw, oceny kierowców i egzekwowania zasad nie mogą być traktowane jako automatyzacja pozbawiona poważnych konsekwencji. Firmy powinny umieć wyjaśnić, jak podejmowane są decyzje, informować osoby nimi dotknięte, zapewniać rzeczywistą ponowną ocenę przez człowieka i oferować skuteczny sposób zakwestionowania niekorzystnego wyniku.

Ryzyko regulacyjne jest największe tam, gdzie oprogramowanie może czasowo albo trwale pozbawić pracownika możliwości zarabiania. W takich sytuacjach „ludzka kontrola” nie może być wyłącznie formalnością — musi umożliwiać ponowne zbadanie sprawy i zmianę decyzji, gdy uzasadniają to fakty.