Därför hotas Uber av en GDPR-sanktionsavgift på 825 miljoner euro för automatiska avstängningar

GDPR:s regler om automatiserat beslutsfattande innebär i regel att en person inte får bli föremål för ett beslut som enbart bygger på automatiserad behandling, om beslutet har betydande effekt på personen, utan lämpliga skydd. Det ska bland annat finnas möjlighet till verkligt mänskligt ingripande, att framföra sin egen version och att bestrida beslutet.

AP:s bedömning tycks vara att Ubers process inte gav förarna dessa rättigheter på ett tillräckligt sätt. Det räcker inte att skicka ett meddelande efter ett algoritmbeslut om den drabbade inte kan förstå vad som hänt eller få en genuin och oberoende omprövning.

Varför en människa i processen inte räckte

Den avgörande skillnaden går mellan en person som självständigt kan granska underlaget och ändra beslutet – och en granskare som i praktiken bara bekräftar algoritmens slutsats.

I ett närliggande mål fann Amsterdams appellationsdomstol att Ubers påstådda mänskliga granskningar endast var symboliska. Domstolen avvisade därför företagets hänvisning till en så kallad ”human in the loop”.

Den tidigare domen förklarar varför den mänskliga kontrollen är central i det nya ärendet. Granskningen måste kunna påverka resultatet. Den får inte vara en formalitet som lämnar algoritmens beslut orört. Föraren måste också få tillräcklig information om beslutet för att kunna bemöta det på ett meningsfullt sätt.

Vad fick förarna enligt myndigheten inte veta?

Enligt rapporteringen om AP:s beslut informerade Uber inte de berörda förarna tillräckligt om att automatiserade processer användes för att stänga av eller avaktivera konton. Bristen på information gjorde det svårare för förarna att förstå varför de hade förlorat åtkomsten och hur de skulle kunna bestrida beslutet.

Det handlar därför om två sammanlänkade problem:

• Själva besluten: Automatiserad behandling kunde få stora konsekvenser utan tillräcklig mänsklig inblandning.
• Transparensen: Förarna fick inte tillräcklig information om den automatiserade processen eller dess konsekvenser.

Fallet gäller alltså både resultatet och vägen dit. Ett företag kan behöva förklara inte bara vilken åtgärd som vidtas, utan också hur en person får en verklig prövning när ett automatiserat system hotar personens inkomst.

Varför hanterade Nederländerna ett klagomål från Frankrike?

Klagomålet kom från Frankrike, men den nederländska AP hanterade det gränsöverskridande ärendet eftersom Uber har sitt europeiska huvudkontor i Nederländerna. Enligt GDPR:s så kallade one-stop-shop-modell leder dataskyddsmyndigheten i det land där företaget har sitt huvudsakliga EU-etableringsställe normalt gränsöverskridande ärenden. Andra berörda myndigheter kan samtidigt delta.

Syftet är att ett multinationellt företag inte ska behöva möta helt separata huvudutredningar i varje EU-land där verksamheten får konsekvenser. Det är också förklaringen till att ett klagomål från franska förare kunde leda till ett beslut från den nederländska myndigheten.

Ubers svar

Uber har kallat beslutet och sanktionsavgiften oproportionerliga och sagt att företaget kommer att överklaga. Uber uppger att förare erbjuds mänsklig granskning och möjlighet att bestrida avstängningar. Företaget säger också att avstängningar vid misstänkt bedrägeri var tillfälliga och förnekar att konton avaktiverades permanent enbart genom automatisering.

Uber har dessutom sagt att företaget inte längre fattar beslut om permanent avaktivering enbart med hjälp av automatiserade system. Det är Ubers beskrivning av företagets processer. AP:s sanktionsavgift gäller de förfaranden som myndigheten granskade under den aktuella perioden, i huvudsak 2020–2022.

Ett större test för algoritmisk arbetsledning

Beslutet visar varför algoritmisk arbetsledning har blivit en viktig dataskydds- och arbetslivsfråga i Europa. Systemen användes inte bara för att rekommendera annonser eller sortera rutinmässiga kunduppgifter. De kunde i praktiken avgöra om en arbetande person fick behålla tillgången till en plattform som gav försörjning.

Den bredare lärdomen är att en policy om ”mänsklig granskning” sannolikt inte räcker om granskarna inte självständigt kan undersöka fakta, ta del av den berörda personens förklaring och ändra ett automatiserat beslut. Företag som använder automatiserade system för exempelvis registrering av arbetstagare, bedrägerikontroller, kontobegränsningar eller avaktiveringar behöver väga in både transparens och möjligheten att överklaga när systemen påverkar människors försörjning.

Fallet läggs också till Ubers tidigare GDPR-historik i Nederländerna. År 2024 bötfällde den nederländska myndigheten separat Uber med 290 miljoner euro för överföringar av europeiska förares personuppgifter till USA. Metas sanktionsavgift på 1,2 miljarder euro gällde däremot överföringar av europeiska Facebook-användares uppgifter till USA – inte beslut om arbetsledning.

Beloppet på 825 miljoner euro är tills vidare inte slutgiltigt eftersom Uber tänker överklaga. Men den principiella signalen är tydlig: enligt GDPR får algoritmisk arbetsledning inte bli en svart låda när besluten kan beröva någon möjligheten att arbeta.