Ubers sanktionsavgift på 825 miljoner euro handlar inte om ett dataintrång. Nederländernas dataskyddsmyndighet, Autoriteit Persoonsgegevens (AP), anser att Uber använde automatiserade system för att stänga av eller avaktivera europeiska förare utan att tydligt informera dem om att automatiserade beslut fattades. Förarna fick enligt myndigheten inte heller en meningsfull möjlighet till mänsklig prövning eller att bestrida besluten. Beslutet gäller agerande under perioden 2020–2022.
1
3
6
Vad utlöste sanktionsavgiften?
Fallet kretsar kring mjukvara som fattade kontobeslut med direkt betydelse för förarnas möjlighet att arbeta via plattformen. Enligt rapporteringen om AP:s beslut användes systemen mot förare som misstänktes för bedrägeri och mot förare med låga kundbetyg.
2
4
Bland de situationer som systemen skulle upptäcka fanns ovanligt långa resor. Det kunde tolkas som att en förare tagit en onödig omväg för att höja priset. Systemen kunde också reagera på resor som en förare tackat ja till men enligt misstanken inte hade för avsikt att slutföra. Det tillgängliga materialet visar att detta var exempel på beteenden som Uber försökte identifiera – inte att varje förare som flaggades faktiskt hade gjort sig skyldig till sådana handlingar.
4
17
19
Myndighetens invändning gäller därför både själva besluten och processen bakom dem. En avstängning kan få stora konsekvenser för en förares möjlighet att försörja sig. AP uppger att förarna inte informerades på rätt sätt om det automatiserade beslutsfattandet och att de saknade tillräcklig mänsklig inblandning samt en effektiv väg att få beslutet omprövat.
3
5
6
GDPR-frågan: betydande beslut får inte försvinna in i en algoritm
GDPR begränsar beslut som enbart grundas på automatiserad behandling när de får rättsliga eller på liknande sätt betydande konsekvenser för en person. När sådana beslut fattas ska det finnas skyddsåtgärder, bland annat meningsfull mänsklig medverkan och möjlighet att bestrida resultatet.
3
4
Det är den juridiska kärnan i Uber-fallet. Frågan är inte bara om ett företag får använda programvara för att upptäcka misstänkt aktivitet. Frågan är om en plattform får låta en automatiserad process avgöra att en förare ska förlora tillgången till sitt arbete utan tydlig information, verklig mänsklig granskning och en praktiskt användbar möjlighet att begära omprövning.
Sanktionsavgiften skulle bli den näst största som hittills utfärdats enligt GDPR, efter Irlands avgift på 1,2 miljarder euro mot Meta 2023. Meta-fallet gällde överföringen av europeiska Facebook-användares uppgifter till USA, så överträdelserna är olika även om båda fallen visar omfattningen av den europeiska dataskyddstillsynen.
3
6
14
Ubers svar
Uber bestrider AP:s slutsatser och har kallat sanktionsavgiften oproportionerlig. Företaget hävdar att systemen var lagliga och att besluten omfattades av mänsklig kontroll, snarare än att de fattades helt automatiskt. Det står i direkt kontrast till tillsynsmyndighetens beskrivning av processen för avstängningar och avaktiveringar.
6
7
Uber har också framhållit att relativt få förare avaktiverades på grund av låga kundbetyg. Reuters har rapporterat företagets uppgift att det rörde sig om 126 europeiska förare under 2021. Siffran är Ubers argument om hur omfattande agerandet var, inte ett oberoende fastställt resultat i det tillgängliga källmaterialet.
8
9
En eventuell överprövning kommer därför bland annat att behöva pröva hur mycket mänsklig inblandning som faktiskt förekom och om den uppfyllde GDPR:s krav på meningsfull granskning. Det tillgängliga materialet visar inte hur en domstol eller överklagandeinstans kommer att avgöra frågan.
Varför hanterade Nederländerna ett fall med förare i flera länder?
Ärendet började med klagomål från förare, bland annat ett klagomål från Frankrike, men hanterades av den nederländska AP. Rapporteringen beskriver det som ett gränsöverskridande GDPR-ärende som rör Ubers europeiska verksamhet.
17
20
Källmaterialet innehåller inte tillräckligt med detaljer för att slå fast exakt varför Nederländerna blev ansvarig tillsynsmyndighet. Det är därför bättre att inte reducera jurisdiktionsfrågan till en enda obekräftad förklaring. Klart är att AP utredde de europeiska kontobesluten och utfärdade sanktionsavgiften för perioden 2020–2022.
1
3
20
Vad händer nu?
Uber har meddelat att företaget tänker överklaga. Det innebär att beslutet om 825 miljoner euro inte nödvändigtvis är slutgiltigt och att det inte är säkert att hela beloppet kommer att betalas.
6
7
9
Berörda förare kan också försöka kräva ersättning om de kan visa att Uber brutit mot GDPR, att överträdelsen orsakade avstängningen eller avaktiveringen och att de drabbades av en konkret ekonomisk förlust. Det finns inga uppgifter i det tillgängliga materialet om att ersättning redan har dömts ut, och det är inte fastställt att framtida krav kommer att lyckas.
Den större lärdomen handlar därför om något mer specifikt än den stora rubriksiffran: plattformar får använda automatiserade system för att upptäcka misstänkt missbruk, men beslut som påtagligt påverkar en människas försörjning kräver transparens och skydd som faktiskt går att använda. Ubers överklagande kan bli ett viktigt test av hur dessa krav ska tillämpas när ett företag säger att algoritmerna identifierar risker, men att människor fortfarande deltar någonstans i processen.