Uber, sürücüleri otomatik sistemlerle askıya aldığı için neden 825 milyon avro ceza aldı?

Bu tür bir karar, bir sürücünün yalnızca uygulamaya erişimini değil, gelir kaynağını da etkileyebilir. GDPR’nin otomatik karar verme kuralları, bir kişi üzerinde önemli sonuç doğuran kararların yalnızca otomatik işlemeye dayanarak alınmasını, uygun güvenceler olmadan genel olarak yasaklıyor. Bu güvenceler arasında gerçek bir insan müdahalesi, kişinin kendi görüşünü açıklama fırsatı ve karara itiraz edebilme imkânı yer alıyor.

AP’nin değerlendirmesine göre Uber’in süreçleri bu korumaları yeterli biçimde sağlamadı. Bir sürücüye algoritmik karar alındıktan sonra bildirim göndermek, sürücü ne olduğunu anlayamıyor veya bağımsız bir yeniden değerlendirme talep edemiyorsa tek başına yeterli değil.

“İnsan döngüde” demek neden yeterli olmadı?

Buradaki kritik ayrım, dosyayı bağımsız biçimde inceleyebilen bir insan ile algoritmanın verdiği sonucu yalnızca onaylayan bir görevli arasındaki fark. Amsterdam Temyiz Mahkemesi, bağlantılı bir davada Uber’in sunduğu insan incelemelerinin yalnızca sembolik kaldığına hükmetti ve göstermelik bir “insan döngüde” yaklaşımını kabul etmedi.

Bu karar, AP’nin son yaptırımının hukuki önemini anlamak açısından önemli. İnsan müdahalesi, sonucu gerçekten değiştirebilecek nitelikte olmalı; algoritmanın kararını fiilen olduğu gibi bırakan bir prosedür formalitesine dönüşmemeli. Ayrıca sürücülere, karara anlamlı biçimde itiraz edebilmeleri için yeterli açıklama sunulması gerekiyor.

Sürücülere hangi bilgiler verilmedi?

AP, karar kapsamında etkilenen sürücülerin askıya alma veya hesap kapatma işlemlerinde otomatik süreçlerin kullanıldığını yeterince bilmediği sonucuna vardı. Sürücüler, erişimlerini neden kaybettiklerini veya kararın temelindeki iddialara nasıl itiraz edebileceklerini doğru biçimde değerlendiremiyordu.

Bu durum iki ayrı uyum sorununu aynı anda ortaya çıkarıyor:

• Karar verme sorunu: Önemli sonuçlar doğuran otomatik işlemler, yeterli insan müdahalesi olmadan kullanılabiliyordu.
• Şeffaflık sorunu: Sürücüler, otomatik sürecin varlığı ve bunun üzerlerindeki etkisi hakkında yeterince bilgilendirilmiyordu.

Dolayısıyla mesele yalnızca Uber’in hangi yaptırımı uyguladığı değil, bu yaptırımın nasıl karara bağlandığı. Bir şirketin hem aldığı önlemi açıklaması hem de otomatik sistem geçim kaynağını tehdit ettiğinde gerçek bir inceleme ve itiraz yolu sunması gerekiyor.

Fransa’dan gelen şikâyeti neden Hollanda inceledi?

Şikâyet Fransa’da ortaya çıktı; ancak dosyanın baş denetim makamı olarak Hollanda Veri Koruma Kurumu görev yaptı. Bunun nedeni, Uber’in Avrupa merkezinin Hollanda’da bulunması. GDPR’nin sınır ötesi dosyalar için uyguladığı “tek durak” sistemi uyarınca, şirketin Avrupa Birliği’ndeki ana kuruluşunun bulunduğu ülkedeki denetim makamı genellikle soruşturmayı yönetiyor; diğer ilgili ülke makamları da sürece katılabiliyor.

Bu sistem, çok uluslu şirketlerin faaliyetlerinden etkilenen her AB ülkesinde birbirinden tamamen ayrı baş soruşturmalarla karşılaşmasını önlemeyi amaçlıyor. Bu nedenle Fransa’da yapılan bir sürücü şikâyeti, Uber’in Avrupa yapılanması Hollanda’da olduğu için Hollandalı düzenleyicinin kararına dönüştü.

Uber ne diyor?

Uber, karara itiraz edeceğini ve cezanın orantısız olduğunu açıkladı. Şirket, askıya alma kararları için insan incelemesi ve itiraz hakkı sunduğunu belirtiyor. Uber ayrıca sahtekârlık şüphesiyle yapılan askıya almaların geçici olduğunu ve hesapların yalnızca otomasyon yoluyla kalıcı olarak kapatılmadığını savunuyor.

Şirket, kalıcı hesap kapatma kararlarını artık yalnızca otomatik sistemlere dayanarak vermediğini de söylüyor. Ancak bu açıklamalar Uber’in mevcut uygulamalara ilişkin tutumunu yansıtıyor; AP’nin cezası esas olarak 2020-2022 döneminde incelenen uygulamalarla ilgili.

Karar, algoritmik yönetim açısından ne anlama geliyor?

Dosya, algoritmik yönetimin Avrupa’da neden yalnızca bir teknoloji veya mahremiyet meselesi olmadığını gösteriyor. Buradaki sistemler reklamları sıralamıyor ya da sıradan müşteri verilerini sınıflandırmıyordu. Bir çalışanın gelir sağlayan platforma erişimini sürdürüp sürdüremeyeceğini etkileyebiliyordu.

Daha geniş uyum mesajı açık: “İnsan incelemesi var” demek, incelemeyi yapan kişiler gerçekleri bağımsız biçimde değerlendiremiyor, sürücünün açıklamasını dinleyemiyor veya otomatik sonucu değiştiremiyorsa yeterli olmayabilir. Çalışanların işe kabulü, sahtekârlık tespiti, hesap kısıtlamaları veya hesap kapatma gibi alanlarda otomasyon kullanan şirketlerin şeffaflık ve itiraz edilebilirlik koşullarını, kararın kişinin geçimini etkilediği noktada ele alması gerekiyor.

Karar, Uber’in Hollanda’daki daha geniş GDPR geçmişine de ekleniyor. Hollanda makamı 2024’te, Avrupalı sürücülerin kişisel verilerini ABD’ye aktarırken yeterli koruma sağlamadığı gerekçesiyle Uber’e ayrıca 290 milyon avro ceza vermişti. Meta’ya verilen 1,2 milyar avroluk ceza ise çalışan yönetimiyle değil, Avrupalı Facebook kullanıcılarının verilerinin ABD’ye aktarılmasıyla ilgiliydi.

Uber’in itirazı nedeniyle 825 milyon avroluk tutarın değişip değişmeyeceği henüz belli değil. Ancak kararın temel mesajı şimdiden net: GDPR kapsamında otomatik yönetim, bir kişinin çalışma imkânını ortadan kaldırabilecek kararlar söz konusu olduğunda kapalı bir kutu gibi işleyemez.