Kara dla Ubera nie dotyczy wycieku danych. Holenderski organ ochrony danych, Autoriteit Persoonsgegevens (AP), uznał, że firma wykorzystywała automatyczne systemy do zawieszania i dezaktywowania kont europejskich kierowców, nie informując ich odpowiednio o podejmowaniu decyzji przez algorytmy i nie zapewniając im realnej możliwości weryfikacji przez człowieka ani zakwestionowania wyniku. Decyzja obejmuje działania z lat 2020–2022.
1
3
6
Co doprowadziło do kary
Sprawa dotyczyła oprogramowania, które podejmowało decyzje wpływające na możliwość dalszej pracy kierowców na platformie Ubera. Według relacji opisujących decyzję AP systemy wykorzystywano wobec osób podejrzewanych o oszustwa oraz kierowców z niskimi ocenami klientów.
2
4
Wśród sygnałów mogących wskazywać na nadużycie wymieniano między innymi nietypowo długie przejazdy. Mogły one sugerować niepotrzebne objazdy mające podnieść opłatę za kurs. System miał również wychwytywać sytuacje, w których kierowca przyjął przejazd, ale rzekomo nie zamierzał go zrealizować. Dostępne materiały potwierdzają, że były to przykłady zachowań, których algorytmy Ubera miały szukać, ale nie dowodzą niezależnie, że każdy oznaczony kierowca dopuścił się takiego działania.
4
17
19
Dla regulatora problemem były więc nie tylko same kryteria, lecz także procedura. Zawieszenie lub dezaktywacja konta może bezpośrednio ograniczyć możliwość zarabiania. AP stwierdził, że kierowcy nie byli właściwie informowani o automatycznym podejmowaniu decyzji, nie otrzymywali wystarczającego udziału człowieka w ich sprawie i nie mieli skutecznej ścieżki odwoławczej.
3
5
6
Dlaczego RODO ogranicza decyzje podejmowane wyłącznie przez algorytm
RODO ogranicza podejmowanie decyzji opartych wyłącznie na automatycznym przetwarzaniu danych, jeśli wywołują one skutki prawne lub podobnie istotnie wpływają na daną osobę. W przypadkach objętych tymi przepisami zabezpieczenia mogą obejmować rzeczywistą ingerencję człowieka oraz możliwość zakwestionowania decyzji.
3
4
Właśnie na tym polega znaczenie sprawy Ubera. Nie chodzi o to, czy platforma może korzystać z oprogramowania do wykrywania podejrzanych zachowań. Pytanie brzmi, czy algorytm może doprowadzić do odebrania kierowcy dostępu do pracy bez jasnej informacji, autentycznej kontroli człowieka i praktycznej możliwości ponownego rozpatrzenia sprawy.
Kara w wysokości 825 mln euro byłaby drugą najwyższą nałożoną dotychczas na podstawie RODO — po 1,2 mld euro wymierzonych Mecie przez irlandzki organ w 2023 roku. Tamta sprawa dotyczyła transferu danych europejskich użytkowników Facebooka do Stanów Zjednoczonych, a więc innego rodzaju naruszenia. Obie decyzje pokazują jednak skalę europejskiego egzekwowania przepisów o ochronie danych.
3
6
14
Jak odpowiada Uber
Uber nie zgadza się z ustaleniami AP i uważa karę za nieproporcjonalną. Firma twierdzi, że jej systemy działały zgodnie z prawem i podlegały nadzorowi człowieka, a decyzje nie były całkowicie automatyczne. To stoi w bezpośredniej sprzeczności z opisem procesu zawieszeń i dezaktywacji przedstawionym przez regulatora.
6
7
Uber argumentuje również, że liczba kierowców dezaktywowanych z powodu niskich ocen była niewielka. Reuters podał, że według firmy w 2021 roku w Europie dotyczyło to 126 osób. Jest to argument Ubera dotyczący skali sprawy, a nie niezależnie potwierdzone ustalenie zawarte w dostępnych materiałach.
8
9
Ewentualne odwołanie będzie musiało rozstrzygnąć między innymi dwie kwestie: jak duży był faktyczny udział człowieka w podejmowaniu decyzji oraz czy spełniał on wymóg „realnej” kontroli w rozumieniu RODO. Dostępne relacje nie przesądzają, jak sąd lub organ odwoławczy oceni te kwestie.
Dlaczego sprawą zajęła się Holandia
Postępowanie rozpoczęło się od skarg kierowców, w tym skargi z Francji, ale prowadził je holenderski AP. Relacje opisują sprawę jako transgraniczne postępowanie dotyczące europejskiej działalności Ubera.
17
20
Dostępne źródła nie zawierają wystarczających informacji, by jednoznacznie wyjaśnić, dlaczego to Holandia wystąpiła w roli głównego organu nadzorczego. Nie należy więc sprowadzać kwestii właściwości do jednej, niepotwierdzonej przyczyny. Wiadomo natomiast, że AP zbadał decyzje dotyczące europejskich kont i nałożył karę za działania z okresu 2020–2022.
1
3
20
Co wydarzy się dalej
Uber zapowiedział odwołanie. Oznacza to, że decyzja o karze 825 mln euro nie musi być jeszcze ostateczna, a firma niekoniecznie zapłaci dokładnie tę kwotę.
6
7
9
Kierowcy, których dotknęły zawieszenia lub dezaktywacje, mogą również próbować dochodzić odszkodowań. Musieliby jednak wykazać naruszenie RODO, związek między tym naruszeniem a utratą dostępu do platformy oraz konkretną szkodę finansową. Dostępne informacje nie wskazują, by takie odszkodowania zostały już przyznane, ani nie przesądzają, że przyszłe pozwy zakończą się sukcesem.
Najważniejsza lekcja z tej sprawy jest węższa, ale bardziej praktyczna niż sama astronomiczna kwota kary: platformy mogą używać automatycznych narzędzi do wykrywania podejrzanych działań, jednak decyzje mające istotny wpływ na czyjeś źródło utrzymania wymagają przejrzystości i zabezpieczeń, z których można realnie skorzystać. Odwołanie Ubera pokaże, jak te wymogi należy stosować w sytuacji, gdy firma twierdzi, że algorytmy jedynie wskazują ryzyko, a człowiek nadal uczestniczy w procesie.