Штраф Uber на €825 млн связан не с утечкой данных, а с тем, как компания принимала решения о доступе водителей к работе на платформе. Нидерландское управление по защите данных (Autoriteit Persoonsgegevens, или AP) заявило, что Uber использовала автоматизированные системы для приостановки и отключения аккаунтов европейских водителей, не объясняя им должным образом роль алгоритмов и не предоставляя полноценной возможности добиться пересмотра решения человеком. Речь идет о действиях в период с 2020 по 2022 год.
1
3
6
Что стало причиной штрафа
В центре дела оказались программные системы, которые могли ограничивать водителям доступ к заказам и, соответственно, к заработку. По данным публикаций о решении AP, алгоритмы применялись к водителям, которых подозревали в мошенничестве, а также к тем, кто получал низкие оценки клиентов.
2
4
Среди рассматривавшихся признаков подозрительного поведения назывались необычно долгие поездки. Они могли указывать на предполагаемые объезды, призванные увеличить стоимость поездки, а также на случаи, когда водитель принимал заказ, но, как считала система, не намеревался его выполнять. Доступные материалы подтверждают, что именно такие сигналы использовались для выявления возможных нарушений, но сами по себе не доказывают, что каждый водитель, отмеченный алгоритмом, действительно совершал подобные действия.
4
17
19
Претензии регулятора касались не только содержания решений, но и процедуры их принятия. Временная блокировка или окончательная деактивация аккаунта может напрямую лишить водителя возможности зарабатывать. AP заявило, что водителей недостаточно информировали об автоматизированном принятии решений, а также не обеспечили им надлежащее участие человека и действенный способ оспорить блокировку.
3
5
6
Что здесь нарушает GDPR
Общий регламент ЕС по защите данных (GDPR) ограничивает решения, принимаемые исключительно на основе автоматизированной обработки, если они имеют юридические или иные сопоставимо существенные последствия для человека. В ситуациях, подпадающих под эти правила, среди предусмотренных гарантий могут быть содержательная проверка человеком и возможность обжаловать результат.
3
4
Именно в этом заключается юридическая суть дела Uber. Вопрос не в том, может ли сервис использовать программы для обнаружения подозрительной активности. Вопрос в том, вправе ли платформа позволить автоматизированной процедуре решить, что человек теряет доступ к работе, если ему не сообщили об этом понятным образом, не предоставили реального человеческого пересмотра и не оставили практического пути для пересмотра решения.
Если штраф сохранится, он станет вторым крупнейшим взысканием по GDPR — после €1,2 млрд, которые ирландский регулятор назначил Meta в 2023 году. Дело Meta касалось передачи данных европейских пользователей Facebook в США, поэтому нарушения в двух случаях различаются. Однако оба дела показывают масштаб европейского контроля за крупными технологическими платформами.
3
6
14
Как Uber объясняет ситуацию
Uber не согласна с выводами AP и считает штраф несоразмерным. Компания утверждает, что ее системы действовали законно и предусматривали участие сотрудников, то есть не были полностью автоматическими. Это напрямую расходится с оценкой регулятора, описавшего процесс приостановки и деактивации аккаунтов как недостаточно обеспеченный человеческим контролем.
6
7
Компания также указывала, что из-за низких оценок клиентов в 2021 году в Европе были отключены 126 водителей. Эту цифру приводила сама Uber, чтобы подчеркнуть, по ее мнению, ограниченный масштаб последствий; доступные материалы не позволяют считать ее самостоятельно установленным выводом.
8
9
Таким образом, возможное обжалование будет, среди прочего, вращаться вокруг двух вопросов: насколько значительным на самом деле было участие сотрудников в конкретных решениях и соответствовало ли оно стандарту «содержательной проверки» по GDPR. Имеющиеся сообщения не позволяют заранее сказать, как эти вопросы разрешит суд или другой апелляционный орган.
Почему дело рассматривали в Нидерландах
Разбирательство началось после жалоб водителей, в том числе во Франции, но его рассмотрело нидерландское управление AP. СМИ называют дело трансграничным разбирательством по GDPR, связанным с европейской деятельностью Uber.
17
20
Доступных данных недостаточно, чтобы уверенно свести выбор нидерландского регулятора к одной конкретной юридической причине. Известно лишь, что AP расследовало решения по аккаунтам европейских водителей и вынесло постановление в отношении действий за период 2020–2022 годов.
1
3
20
Что будет дальше
Uber заявила, что обжалует решение. Поэтому €825 млн — пока не обязательно окончательная сумма, которую компании придется выплатить.
6
7
9
Водители, которых затронули блокировки, теоретически также могут обратиться за компенсацией, если докажут нарушение GDPR, связь между этим нарушением и приостановкой или отключением аккаунта, а также конкретный финансовый ущерб. Доступные материалы не подтверждают, что компенсации уже присуждались, и не позволяют утверждать, что будущие иски обязательно будут удовлетворены.
Главный вывод из этой истории — не только рекордный размер штрафа. Платформы могут использовать алгоритмы для поиска предполагаемых нарушений, но решения, способные лишить человека заработка, требуют прозрачности и защитных механизмов, которыми действительно можно воспользоваться. Апелляция Uber покажет, как европейские правила применяются в ситуации, когда компания говорит о человеческом контроле, а регулятор считает его недостаточным.