825 milyon avroluk cezanın nedeni bir veri sızıntısı değil. Hollanda Veri Koruma Kurumu (AP), Uber’in Avrupa’daki sürücü hesaplarını otomatik sistemlerle askıya alırken veya devre dışı bırakırken sürücüleri yeterince bilgilendirmediğine ve etkili bir insan incelemesi ile itiraz yolu sunmadığına karar verdi. Karar, 2020-2022 dönemindeki uygulamaları kapsıyor.
1
3
6
Cezaya hangi uygulamalar yol açtı?
Dosyanın merkezinde, sürücülerin Uber platformunda çalışmaya devam edip edemeyeceğini etkileyen hesap kararlarının nasıl alındığı bulunuyor. Haber kaynaklarına göre Uber’in yazılımları, dolandırıcılık şüphesi bulunan veya düşük müşteri puanlarına sahip sürücüleri tespit etmek için kullanıldı.
2
4
Dolandırıcılık şüphesine yol açan sinyaller arasında, ücretleri artırmak amacıyla gereksiz güzergâh değişiklikleri yapıldığı izlenimi veren olağan dışı uzun yolculuklar ve sürücünün tamamlamayı düşünmediği bir yolculuğu kabul etmesi gibi durumlar yer aldı. Ancak mevcut haberler, bunların Uber sistemlerinin tespit etmeye çalıştığı davranışlara örnek olduğunu gösteriyor; işaretlenen her sürücünün gerçekten bu eylemleri gerçekleştirdiğini bağımsız olarak kanıtlamıyor.
4
17
19
AP’nin itirazı yalnızca algoritmaların hangi davranışları işaretlediğiyle sınırlı değildi. Bir hesabın askıya alınması veya kapatılması, sürücünün gelir elde etme imkânını doğrudan etkileyebilir. Kuruma göre sürücüler, karar sürecinde otomatik sistemlerin kullanıldığı konusunda gerektiği gibi bilgilendirilmedi ve kararı gerçek anlamda bir insanın incelemesini ya da etkili biçimde itiraz etmelerini sağlayacak yeterli mekanizmaya sahip olmadı.
3
5
6
GDPR açısından sorun neydi?
Avrupa Birliği’nin Genel Veri Koruma Tüzüğü (GDPR), yalnızca otomatik veri işleme temelinde alınan ve kişi üzerinde hukuki veya benzer ölçüde önemli sonuçlar doğuran kararları sınırlandırıyor. Bu tür kararların uygulandığı durumlarda, anlamlı bir insan müdahalesi ve karara itiraz edebilme imkânı gibi güvenceler gerekebiliyor.
3
4
Uber dosyasındaki temel hukuki mesele de bu. Platformların şüpheli faaliyetleri tespit etmek için yazılım kullanıp kullanamayacağı tartışılmıyor. Tartışma, bir algoritmanın sürücünün platformda çalışma hakkını fiilen ortadan kaldırmasına; sürücüye açık bir bildirim yapılmadan, gerçek bir insan değerlendirmesi sunulmadan ve yeniden inceleme talep edebileceği pratik bir yol bırakılmadan izin verilip verilemeyeceğiyle ilgili.
825 milyon avroluk yaptırım, GDPR kapsamında verilen en yüksek ikinci ceza olarak sıralanıyor. İlk sırada, Avrupalı Facebook kullanıcılarının verilerinin ABD’ye aktarılmasıyla ilgili olarak Meta’ya 2023’te verilen 1,2 milyar avroluk ceza bulunuyor. İki dosya farklı ihlal iddialarına dayanıyor; ancak her ikisi de Avrupa’daki veri koruma yaptırımlarının teknoloji şirketleri açısından ne kadar yüksek mali sonuçlar doğurabileceğini gösteriyor.
3
6
14
Uber ne diyor?
Uber, AP’nin değerlendirmelerine katılmıyor ve cezanın orantısız olduğunu savunuyor. Şirket, kullandığı sistemlerin hukuka uygun olduğunu ve karar süreçlerinde insan denetiminin bulunduğunu söylüyor. Bu açıklama, AP’nin askıya alma ve hesap kapatma sürecine ilişkin değerlendirmesiyle doğrudan çelişiyor.
6
7
Şirket ayrıca düşük müşteri puanları nedeniyle hesapları kapatılan sürücü sayısının sınırlı olduğunu belirtiyor. Reuters’ın aktardığı Uber verisine göre 2021’de Avrupa’da bu nedenle 126 sürücünün hesabı devre dışı bırakıldı. Bu sayı, Uber’in cezanın kapsamına ilişkin savunmasının bir parçası; mevcut kaynaklarda bağımsız olarak doğrulanmış bir düzenleyici bulgu olarak sunulmuyor.
8
9
Dolayısıyla olası bir temyizde iki soru öne çıkacak: İlgili kararların alınmasında gerçekte ne kadar insan müdahalesi vardı ve bu müdahale GDPR’ın “anlamlı inceleme” standardını karşılıyor muydu? Mevcut haberler, mahkemenin veya temyiz sürecinin bu soruları nasıl yanıtlayacağını ortaya koymuyor.
Fransa’daki şikâyet neden Hollanda’da incelendi?
Süreç, aralarında Fransa’dan gelen bir şikâyetin de bulunduğu sürücü başvurularıyla başladı. Ancak dosya, Uber’in Avrupa operasyonlarıyla ilgili sınır ötesi bir GDPR soruşturması olarak Hollanda Veri Koruma Kurumu tarafından yürütüldü.
17
20
Mevcut kaynaklar, Hollanda’nın neden başvuruyu yürüten öncü makam olduğunu kesin biçimde açıklamaya yetmiyor. Bu nedenle yargı yetkisini tek ve doğrulanmamış bir gerekçeye indirgemek doğru olmaz. Kesin olan, AP’nin Avrupa’daki sürücü hesabı kararlarını soruşturduğu ve 2020-2022 dönemine ilişkin cezayı verdiği.
1
3
20
Bundan sonra ne olacak?
Uber, kararı temyiz edeceğini açıkladı. Bu nedenle 825 milyon avroluk kararın nihai hâle gelip gelmeyeceği veya şirketin sonunda bu tutarın tamamını ödeyip ödemeyeceği henüz belli değil.
6
7
9
Etkilenen sürücüler de hukuka aykırı bir GDPR ihlali yaşadıklarını, bu ihlal ile hesaplarının askıya alınması veya kapatılması arasında bağlantı bulunduğunu ve somut bir maddi kayba uğradıklarını kanıtlayabilirlerse tazminat talebinde bulunabilir. Ancak mevcut kanıtlar herhangi bir tazminat ödemesi yapıldığını göstermiyor ve gelecekte açılabilecek davaların başarılı olacağını da ortaya koymuyor.
Dosyanın daha geniş mesajı, cezanın yüksek meblağından daha önemli olabilir: Platformlar şüpheli davranışları saptamak için otomatik sistemler kullanabilir. Fakat bir kişinin geçim kaynağını etkileyen kararlar söz konusu olduğunda şeffaflık, insan denetimi ve gerçekten kullanılabilir bir itiraz mekanizması gerekiyor. Uber’in temyizi, şirketlerin “riskleri algoritmalar belirliyor ama süreçte insanlar da yer alıyor” savunmasının GDPR karşısında ne ölçüde yeterli olduğunu test edecek.