Uber’in 825 milyon avroluk GDPR cezası: Sürücüleri algoritma mı işten çıkardı?

Uber, sürücü hesaplarını etkileyen otomatik kararlar nedeniyle Avrupa Birliği’nin Genel Veri Koruma Tüzüğü’nü (GDPR) ihlal ettiği gerekçesiyle 825 milyon avro, yaklaşık 966 milyon dolar, para cezasına çarptırıldı. Kararı Hollanda Veri Koruma Kurumu (AP) verdi. İnceleme, 2020-2022 yılları arasında Avrupa’daki sürücülere yönelik uygulamalara odaklandı. 12

Uber, kararın bazı bulgularına ve cezanın miktarına itiraz ediyor. Şirket, kararı temyize götüreceğini açıkladı. 1

Hollanda düzenleyicisi Uber hakkında ne buldu?

AP’nin kararına göre Uber, dolandırıcılık şüphesi bulunan bazı sürücüleri geçici olarak askıya almak ve müşteri puanı düşük olan bazı sürücülerin hesaplarını kalıcı biçimde kapatmak için otomatik sistemler kullandı. Düzenleyici kurum, bu kararların anlamlı bir insan incelemesi olmadan alınabildiğini ve sürücülerin otomatik karar verme süreçlerinin nasıl kullanıldığı konusunda yeterince bilgilendirilmediğini belirtti. 145

Sorun, Uber’in dolandırıcılık tespiti veya hizmet kalitesini ölçmek için yazılım kullanması değildi. Asıl mesele, bu otomatik işlemlerin bir sürücünün platforma erişmeye ve dolayısıyla Uber üzerinden gelir elde etmeye devam edip edemeyeceğini belirleyebilmesiydi.

Haberlere göre dolandırıcılık tespitinde kullanılan sinyaller arasında olağandışı uzun süren yolculuklar da bulunuyordu. Bu tür yolculuklar, sürücünün ücreti artırmak için gereksiz bir güzergâh izlediği şüphesine yol açabiliyordu. Sürücünün aslında yapmak istemediği bir yolculuğu kabul etmesi de kullanılan göstergeler arasındaydı. 5

GDPR açısından neden ciddi bir karar?

GDPR, yalnızca otomatik veri işlemeye dayanan ve bir kişi üzerinde hukuki sonuç doğuran ya da kişiyi benzer şekilde önemli ölçüde etkileyen kararları kısıtlıyor. Hollanda’daki düzenleyici kurum bu ilkeyi, önemli sonuçları olan kararlarda kişinin “insani bir değerlendirme” talep etme hakkı olarak açıklıyor.

Bir sürücünün Uber hesabına erişimini kaybetmesi, sıradan bir uygulama özelliğinin değiştirilmesinden çok daha ciddi sonuçlar doğurabilir. Geçici bir askıya alma gelir akışını kesebilir; kalıcı hesap kapatma ise sürücünün platform üzerinden çalışmasını tamamen engelleyebilir. AP’nin bu işlemleri rutin operasyon kararları yerine ciddi sonuç doğuran kararlar olarak değerlendirmesinin temelinde bu geçim kaybı riski bulunuyor. 45

GDPR kapsamında otomatik karar vermeye izin verilen durumlarda bile şirketlerin bazı güvenlik önlemlerini sağlaması gerekiyor. Bunlar arasında sürecin açık biçimde anlatılması, ilgili kişinin insan müdahalesi istemesine imkan tanınması ve kararın etkili şekilde itiraz edilebilmesi yer alıyor.

Şikayet nasıl başladı ve dosya neden Hollanda’da ele alındı?

Dosya, Fransa’daki Uber sürücülerinin şikayetleriyle başladı. Eski Uber sürücüsü Brahim Ben Ali, etkilenen yaklaşık 170 sürücünün ifadelerini bir araya getirdi. Bu çalışmaya İsviçre merkezli dijital haklar kuruluşu PersonalData.io da destek verdi. Mevcut haberlerde Fransız şikayetçilerin sayısı 171 olarak geçiyor. 413

Soruşturmanın Hollanda’da yürütülmesinin nedeni, Uber’in ilgili Avrupa operasyonlarının ve GDPR kapsamındaki denetim düzenlemesinin Hollanda’ya bağlı olmasıydı. Bu durum, Hollanda’daki kurumun başka bir Avrupa ülkesindeki sürücüleri de ilgilendiren sınır ötesi bir dosyada işlem yapmasına imkan verdi. 17

Vaka aynı zamanda bireysel şikayetlerin büyük teknoloji platformlarının algoritmik sistemlerinin nasıl çalıştığını görünür hale getirebileceğini gösteriyor. Sürücüler, hesaplarını etkileyen kararlar hakkında bilgi istedi; soruşturma ise yalnızca tek tek askıya alma işlemlerinin sonucunu değil, Uber’in otomatik karar verme yapısının tamamını inceledi. 13

825 milyon avroluk ceza ne kadar büyük?

825 milyon avroluk yaptırım, Meta’ya verilen 1,2 milyar avroluk cezanın ardından AB GDPR’si kapsamında uygulanan en yüksek ikinci ceza olarak bildiriliyor. 12

Yeni ceza, Uber’in daha önce Hollanda’da aldığı 290 milyon avroluk GDPR cezasından da oldukça yüksek. Önceki dosya, otomatik hesap kapatma kararlarıyla değil, Avrupalı sürücülerin kişisel verilerinin Amerika Birleşik Devletleri’ne aktarılmasıyla ilgiliydi.

Dosya	Ceza	Temel mesele
Uber’in otomatik sürücü kararı dosyası	825 milyon avro	Yeterli bilgilendirme veya insan denetimi olmadan otomatik askıya alma ve hesap kapatma 12
Uber’in önceki Hollanda GDPR dosyası	290 milyon avro	Avrupalı sürücü verilerinin ABD’ye aktarılması
Meta’nın GDPR rekor cezası	1,2 milyar avro	Facebook kullanıcı verilerinin ABD’ye aktarılması 110

Bu ceza, düzenleyici kurum tarafından uygulanan bir yaptırım niteliğinde. Tutarın kendisi, sürücülerin uğradığı gelir kaybını otomatik olarak telafi etmiyor.

Sürücüler tazminat alabilecek mi?

Dijital haklar savunucuları, kararın Uber’den tazminat talep edilebilecek toplu bir hukuki sürecin başlangıcı olabileceğini düşünüyor. Reuters’ın aktardığına göre PersonalData.io, sürücüler adına bir toplu dava hazırlığı yürütüyor. 13

Ancak böyle bir süreç, AP’nin verdiği para cezasından ayrı olacak. Sürücülerin bireysel veya toplu tazminat talebinin hukuki dayanağını ve uğranan zararın kapsamını ayrıca ortaya koyması gerekecek. Düzenleyici kurumun cezası, tek başına otomatik bir ödeme hakkı yaratmıyor. 713

Uber ne diyor, itiraz süreci nasıl ilerleyecek?

Uber, karara kesinlikle katılmadığını ve cezanın orantısız olduğunu belirtti. Şirket, bazı tespitlere ve yaptırımın miktarına itiraz ediyor; kararı temyize götürmeyi planlıyor. 13

Şirket ayrıca incelemeye konu olan politikaların 2021-2022 döneminde sonlandırıldığını savunuyor. Uber’in açıklamasına göre mevcut prosedürlerde insan incelemesi ve itiraz kanalları bulunuyor. Şirket, sürücülerin çoğunun kısa süreli olarak askıya alındığını ve kalıcı hesap kapatmalarının insan müdahalesi olmadan gerçekleşmediğini de öne sürüyor. 17

Bunlar Uber’in savunması; AP’nin tespitleri ise kararda incelenen geçmiş uygulamalarla ilgili. Temyiz süreci, hangi bulguların ve cezanın hangi unsurlarının geçerli kalacağını belirleyebilir.

Karar, algoritmik yönetim açısından ne anlama geliyor?

Uber dosyası, Avrupa’daki veri koruma denetiminin yalnızca verilerin toplanması ve saklanmasıyla sınırlı olmadığını gösteriyor. GDPR, kişisel veriler ve otomatik profilleme kullanılarak bir kişinin işe, gelire veya bir platformun ekonomik imkanlarına erişimi kontrol edildiğinde de devreye girebiliyor. 14

Teknoloji şirketleri ve platform ekonomisinde faaliyet gösteren işletmeler için mesaj açık: Dolandırıcılık tespiti, müşteri puanları ve hesap yaptırımları sonuçsuz otomasyon işlemleri olarak görülemez. Şirketlerin kararların nasıl alındığını açıklayabilmesi, etkilenen kişileri bilgilendirmesi, gerçek bir insan değerlendirmesi sunması ve olumsuz kararlara karşı etkili itiraz yolları sağlaması gerekiyor.

Düzenleyici risk, yazılımın bir çalışanın geçici olarak ya da kalıcı biçimde gelir elde etmesini engelleyebildiği durumlarda daha da belirginleşiyor. Böyle durumlarda yalnızca kâğıt üzerinde var olan bir inceleme süreci yeterli olmayabilir. İnsan müdahalesinin, kararı kanıtlar ve koşullar ışığında gerçekten değerlendirebilmesi ve gerektiğinde değiştirebilmesi gerekiyor.