Штраф Uber в €825 млн: как алгоритмы лишали водителей доступа к работе

Нидерландское управление по защите данных (Autoriteit Persoonsgegevens, AP) оштрафовало Uber на €825 млн — примерно $966 млн — за нарушения GDPR, связанные с автоматическими решениями в отношении европейских водителей в 2020–2022 годах. Регулятор заявил, что компания недостаточно информировала водителей о влиянии алгоритмов на блокировку и отключение аккаунтов и не обеспечивала полноценного человеческого контроля. 12

Uber не согласна с рядом выводов и размером штрафа и намерена обжаловать решение. 1

Что именно обнаружил регулятор

Согласно решению AP, Uber использовала автоматизированные системы, чтобы временно приостанавливать работу водителей, которых подозревали в мошенничестве, а некоторых водителей навсегда отключать от платформы из-за низких оценок клиентов. Такие системы могли принимать решения или запускать процедуру блокировки без содержательной проверки человеком. При этом пострадавшим водителям не объясняли должным образом, как именно применялась автоматическая обработка данных. 145

Проблема заключалась не в самом использовании программ для выявления подозрительной активности или оценки качества сервиса. Главный вопрос регулятора — могли ли алгоритмы фактически решать, сохранит ли водитель доступ к платформе и сможет ли продолжать зарабатывать через неё.

Среди сигналов, которые, по сообщениям, использовались при выявлении мошенничества, были необычно длительные поездки: они могли указывать на ненужные объезды для увеличения стоимости поездки. Система также учитывала случаи, когда водитель принимал заказ, который, предположительно, не собирался выполнять. 5

Почему блокировка аккаунта считается значимым решением по GDPR

GDPR ограничивает решения, основанные исключительно на автоматической обработке данных, если они создают юридические последствия или иным образом существенно влияют на человека. Нидерландский регулятор называет это правом на «человеческий взгляд» при принятии важных решений.

Для водителя платформы потеря доступа к Uber — не обычное изменение настроек аккаунта. Временная блокировка может прервать доход, а постоянное отключение — полностью лишить человека возможности работать через сервис. Именно поэтому AP расценила такие меры как существенные решения, а не как рядовые операционные действия. 45

Если автоматическое решение допускается GDPR, компания всё равно должна предусмотреть защитные механизмы: понятно рассказать о применяемом процессе, дать возможность потребовать вмешательства человека и обеспечить реальный способ оспорить результат.

Как началось дело и почему его рассматривали в Нидерландах

Дело началось с жалоб французских водителей. Бывший водитель Uber Брахим Бен Али собрал свидетельства примерно 170 пострадавших водителей при содействии швейцарской организации по защите цифровых прав PersonalData.io. В доступных публикациях говорится о 171 заявителе из Франции. 413

Расследованием занималось нидерландское AP, поскольку соответствующие европейские операции Uber и надзорные механизмы компании в рамках GDPR были связаны с Нидерландами. Поэтому нидерландский регулятор мог вести трансграничное дело, затрагивающее водителей в другой европейской стране. 17

Эта история также показывает, как жалобы отдельных людей могут привлечь внимание к работе масштабных алгоритмических систем. Водители добивались информации о решениях, повлиявших на их аккаунты, а последующее расследование изучало не только отдельные блокировки, но и саму структуру автоматизированного управления Uber. 13

Насколько велик штраф

Штраф в €825 млн называют вторым по размеру взысканием, наложенным в рамках GDPR в Евросоюзе, после штрафа Meta в €1,2 млрд. 12

Он также значительно превышает предыдущий нидерландский штраф Uber в €290 млн. То дело касалось передачи персональных данных европейских водителей в США, а не автоматических решений об аккаунтах.

Дело	Штраф	Основная проблема
Дело об автоматических решениях в отношении водителей Uber	€825 млн	Приостановки и отключения аккаунтов без достаточного информирования и человеческого контроля 12
Предыдущее нидерландское дело Uber по GDPR	€290 млн	Передача данных европейских водителей в США
Рекордный штраф Meta по GDPR	€1,2 млрд	Передача данных пользователей Facebook в США 110

Сам штраф является регуляторной санкцией. Он не означает автоматической выплаты компенсаций отдельным водителям за потерянный заработок.

Могут ли водители получить компенсацию

Представители цифровых прав рассматривают решение как возможную основу для коллективного иска о компенсации. По данным публикаций, PersonalData.io готовит коллективное разбирательство против Uber. 13

Такой иск будет отдельным от штрафа AP. Водителям всё равно придётся доказать основания и размер индивидуального или коллективного ущерба: решение регулятора само по себе не создаёт автоматического права на выплату. 713

Что ответила Uber

Uber заявила, что категорически не согласна с решением и считает штраф несоразмерным. Компания оспаривает некоторые фактические выводы и размер взыскания, а также планирует подать апелляцию. 13

Компания также утверждает, что спорные правила были отменены в 2021–2022 годах. По версии Uber, действующие процедуры предусматривают проверку человеком и возможность обжалования; кроме того, большинство блокировок являются краткосрочными, а постоянное отключение аккаунта не происходит без участия сотрудника. 17

Это позиция Uber, тогда как выводы AP относятся к историческим практикам, изученным в рамках решения. В ходе обжалования может выясниться, какие именно выводы и элементы штрафа сохранят силу.

Что решение меняет для алгоритмического управления

Дело выводит применение норм о конфиденциальности за пределы привычных вопросов сбора и хранения данных. Оно показывает, что GDPR может применяться и тогда, когда персональные данные и автоматическое профилирование используются для контроля доступа человека к работе, доходу или экономическим возможностям платформы. 14

Для технологических компаний и сервисов гиг-экономики вывод очевиден: обнаружение мошенничества, рейтинговые системы и блокировка аккаунтов не могут считаться автоматизацией без последствий. Компании должны уметь объяснить логику решений, уведомлять затронутых людей, обеспечивать настоящую повторную проверку человеком и давать эффективную возможность оспорить неблагоприятный результат.

Регуляторный риск особенно высок там, где программа может временно или навсегда лишить работника возможности зарабатывать. В таких ситуациях формальной кнопки «подать апелляцию» недостаточно: человек, рассматривающий жалобу, должен иметь возможность изучить обстоятельства, пересмотреть решение и изменить его, если данные или ситуация этого требуют.