Därför får Uber en GDPR-bot på 825 miljoner euro

Nederländska dataskyddsmyndigheten, Autoriteit Persoonsgegevens (AP), har bötfällt Uber 825 miljoner euro – omkring 966 miljoner dollar – för överträdelser av EU:s dataskyddsförordning GDPR. Ärendet gäller automatiserade beslut som påverkade europeiska förare mellan 2020 och 2022. Enligt myndigheten informerades förarna inte tillräckligt om hur automatiserade system användes, och de fick inte heller tillräcklig mänsklig granskning av besluten. 12

Uber bestrider delar av beslutet och anser att boten är oproportionerlig. Företaget har sagt att det ska överklaga. 1

Vad den nederländska myndigheten kom fram till

Enligt AP:s beslut använde Uber automatiserade system för att tillfälligt stänga av förare som misstänktes för bedrägeri. Vissa förare kunde också avaktiveras permanent på grund av låga kundbetyg. Besluten kunde fattas eller utlösas av systemen utan en meningsfull mänsklig prövning, samtidigt som de berörda förarna inte fick tillräcklig information om den automatiserade beslutsprocessen. 145

Problemet var alltså inte enbart att Uber använde programvara för att upptäcka misstänkt bedrägeri eller bedöma tjänstens kvalitet. AP:s invändning var att den automatiserade behandlingen kunde avgöra om en förare fick fortsätta ha tillgång till plattformen – och därmed om personen kunde fortsätta tjäna pengar genom den.

Bland de signaler som enligt rapporteringen användes i bedrägerikontrollerna fanns ovanligt långa resor, vilket kunde tolkas som onödiga omvägar, samt att förare accepterade körningar som de inte hade för avsikt att genomföra. 5

Varför besluten blev en GDPR-fråga

GDPR begränsar beslut som enbart bygger på automatiserad behandling av personuppgifter när de får rättsliga följder eller på annat sätt påverkar en person påtagligt. Den nederländska myndigheten beskriver detta som en rätt till en mänsklig bedömning i beslut med stora konsekvenser.

För en Uber-förare är en avstängning betydligt mer ingripande än att en vanlig funktion i en app ändras. En tillfällig avstängning kan stoppa inkomsten under en period, medan en permanent avaktivering kan hindra föraren från att arbeta via plattformen över huvud taget. Det är denna påverkan på försörjningen som gjorde att AP betraktade besluten som betydande, snarare än som rutinmässiga driftåtgärder. 45

När ett automatiserat beslut är tillåtet enligt GDPR måste det normalt omgärdas av skyddsåtgärder. Det kan exempelvis innebära tydlig information om processen, möjlighet att begära mänsklig inblandning och en verklig chans att bestrida resultatet.

Så började fallet – och därför hamnade det i Nederländerna

Ärendet började med klagomål från franska förare. Den tidigare Uber-föraren Brahim Ben Ali samlade in vittnesmål från omkring 170 personer som upplevde att deras konton hade påverkats. I arbetet fick han hjälp av den schweiziska organisationen PersonalData.io, som arbetar med digitala rättigheter. Tillgänglig rapportering hänvisar till 171 franska klagande. 413

Den nederländska AP hanterade granskningen eftersom Ubers relevanta europeiska verksamhet och GDPR-relaterade tillsynsarrangemang var baserade i Nederländerna. Det gjorde det möjligt för myndigheten att agera i ett gränsöverskridande ärende som gällde förare i ett annat EU-land. 17

Fallet visar också hur enskilda klagomål kan synliggöra hur stora algoritmiska system fungerar i praktiken. Förarna ville få information om beslut som påverkade deras konton. Den efterföljande granskningen kom därför att handla både om enskilda avstängningar och om hur Ubers automatiserade beslutsprocess var uppbyggd. 13

Hur stor är boten?

Boten på 825 miljoner euro uppges vara den näst största som hittills har utfärdats enligt EU:s GDPR. Endast Metas bot på 1,2 miljarder euro är större. 12

Den är också betydligt större än Ubers tidigare nederländska GDPR-bot på 290 miljoner euro. Det ärendet gällde överföringar av europeiska förares personuppgifter till USA, inte automatiserade beslut om avstängning av konton.

Ärende	Bot	Huvudfråga
Ubers ärende om automatiserade förarbeslut	825 miljoner euro	Automatiska avstängningar och avaktiveringar utan tillräcklig information eller mänsklig granskning 12
Ubers tidigare nederländska GDPR-ärende	290 miljoner euro	Överföring av europeiska förares personuppgifter till USA
Metas rekordbot enligt GDPR	1,2 miljarder euro	Överföring av Facebook-användares uppgifter till USA 110

Boten är en regulatorisk sanktion. Den innebär inte automatiskt att enskilda förare får ersättning för förlorade inkomster.

Kan förare få skadestånd?

Organisationer för digitala rättigheter har beskrivit beslutet som en möjlig grund för en gemensam rättsprocess mot Uber. PersonalData.io uppgav enligt rapportering som Reuters hänvisat till att organisationen förberedde en grupptalan. 13

En sådan process skulle vara skild från AP:s bot. Förarna skulle fortfarande behöva visa vilken rättslig grund ett ersättningskrav bygger på och hur stor skadan varit, individuellt eller kollektivt. Myndighetens bot skapar inte i sig någon automatisk utbetalning. 713

Ubers svar och planerade överklagande

Uber har sagt att företaget starkt motsätter sig beslutet och anser att boten är oproportionerlig. Bolaget bestrider vissa faktauppgifter i beslutet, liksom botens storlek, och planerar att överklaga. 13

Uber har också uppgett att de ifrågasatta rutinerna avvecklades under 2021–2022. Företaget hävdar att dagens processer innehåller mänsklig granskning och möjligheter att överklaga. Uber har dessutom sagt att de flesta avstängningar är kortvariga och att permanenta avaktiveringar inte sker utan mänsklig medverkan. 17

Detta är Ubers beskrivning av de nuvarande rutinerna, medan AP:s beslut gäller de historiska arbetssätt som granskades. Ett överklagande kan därför få betydelse för vilka delar av myndighetens bedömning och boten som slutligen står fast.

En varningssignal för algoritmisk arbetsledning

Fallet flyttar fokus för dataskyddstillsynen bortom de traditionella frågorna om hur personuppgifter samlas in och lagras. Det visar hur GDPR kan tillämpas när personuppgifter och automatiserad profilering används för att styra tillgången till arbete, inkomster eller ekonomiska möjligheter på en plattform. 14

För teknikbolag och företag inom plattforms- och gigekonomin är budskapet tydligt: bedrägerikontroller, betygssystem och sanktioner mot konton kan inte behandlas som konsekvensfri automatisering. Företag som använder sådana system behöver kunna förklara hur besluten fattas, informera de berörda, erbjuda en verklig mänsklig omprövning och ge dem en effektiv möjlighet att invända.

Den största regulatoriska risken uppstår när programvara kan göra det tillfälligt eller permanent omöjligt för en arbetstagare att tjäna pengar. I sådana situationer räcker det inte nödvändigtvis med en formell granskningsknapp. Den mänskliga prövningen måste kunna undersöka beslutet på riktigt – och ändra det när bevisen eller omständigheterna talar för det.