Цей штраф не пов’язаний із витоком даних. Нідерландське управління із захисту даних (Autoriteit Persoonsgegevens, або AP) дійшло висновку, що Uber використовував автоматизовані системи для призупинення та деактивації акаунтів європейських водіїв, не повідомляючи їх належним чином про автоматизоване ухвалення рішень і не надаючи змістовної можливості домогтися перевірки людиною або оскаржити результат. Рішення стосується практик у період із 2020 до 2022 року.
1
3
6
Що саме стало причиною штрафу
Справу зосереджено на програмному забезпеченні, яке могло впливати на доступ водіїв до роботи на платформі. За повідомленнями про рішення AP, системи застосовувалися щодо водіїв, яких підозрювали у шахрайстві, а також щодо водіїв із низькими оцінками клієнтів.
2
4
Серед сигналів, які могли викликати підозру у шахрайстві, називали:
- незвично довгі поїздки, що могли вказувати на навмисні об’їзди для збільшення вартості поїздки;
- прийняті замовлення, які водій нібито не планував виконувати.
Ці приклади описують поведінку, яку системи Uber намагалися виявити, але доступні матеріали не підтверджують, що кожен водій, позначений алгоритмом, справді вчинив таке порушення.
4
17
19
Для регулятора проблемою були не лише самі рішення, а й процедура їх ухвалення. Тимчасове блокування або повна деактивація акаунта безпосередньо впливають на можливість водія заробляти. AP заявило, що водіям не пояснювали належним чином роль автоматизованого ухвалення рішень, не забезпечували достатньої участі людини та не давали дієвого способу оскаржити наслідки.
3
5
6
У чому полягає проблема з GDPR
Загальний регламент ЄС про захист даних (GDPR) обмежує рішення, засновані винятково на автоматизованій обробці, якщо вони мають юридичні або інші істотні наслідки для людини. У випадках, на які поширюються ці гарантії, людина має отримати, зокрема, змістовне втручання представника компанії та можливість оскаржити рішення.
3
4
Тому суть справи не в тому, чи може Uber застосовувати програмне забезпечення для пошуку підозрілої активності. Ключове питання — чи може платформа дозволити алгоритму фактично позбавити водія доступу до роботи без чіткого повідомлення, справжнього людського перегляду та практичного механізму повторного розгляду.
Якщо штраф залишиться чинним у такому розмірі, він стане другим найбільшим за GDPR — після €1,2 млрд, накладених ірландським регулятором на Meta у 2023 році. Та справа стосувалася передачі даних європейських користувачів Facebook до США, тобто йшлося про інше ймовірне порушення. Водночас обидва випадки демонструють масштаб європейського нагляду за великими технологічними компаніями.
3
6
14
Як Uber пояснює ситуацію
Uber не погоджується з висновками AP і називає штраф непропорційним. Компанія стверджує, що її системи були законними та передбачали людський контроль, а рішення не ухвалювалися повністю автоматично. Це прямо суперечить оцінці регулятора щодо процесу призупинення та деактивації акаунтів.
6
7
Компанія також наголошувала на кількості водіїв, яких деактивували через низькі оцінки: за даними Reuters, Uber назвала цифру 126 європейських водіїв у 2021 році. Це аргумент компанії щодо масштабу проблеми, а не незалежно встановлений факт, підтверджений доступними матеріалами.
8
9
Отже, потенційний апеляційний процес має прояснити щонайменше два питання: наскільки значною була участь людей у відповідних рішеннях і чи відповідала вона вимозі GDPR щодо змістовного, а не формального перегляду.
Чому справу розглядав саме нідерландський регулятор
Розслідування почалося після скарг водіїв, зокрема зі скарги у Франції, але справу розглядав нідерландський AP. У доступних повідомленнях її описують як транскордонну справу за GDPR, пов’язану з діяльністю Uber у Європі.
17
20
Наявних матеріалів недостатньо, щоб категорично назвати одну конкретну юридичну причину, чому провідним органом стали саме нідерландські органи. Відомо, що AP розслідував рішення щодо європейських акаунтів і наклав штраф за дії у 2020–2022 роках.
1
3
20
Що буде далі
Uber заявив, що оскаржуватиме рішення. Тому €825 млн — це ще не обов’язково остаточна сума, яку компанія сплатить.
6
7
9
Водії, яких стосувалися блокування або деактивація, потенційно можуть вимагати компенсації, якщо доведуть порушення GDPR, причинний зв’язок між цим порушенням і втратою доступу до платформи, а також конкретні фінансові збитки. Доступні джерела не свідчать про вже присуджені компенсації й не дають підстав стверджувати, що майбутні позови будуть успішними.
Головний висновок цієї справи — не сама рекордна цифра, а межі автоматизації. Платформи можуть використовувати алгоритми для виявлення ймовірних зловживань, але рішення, які безпосередньо впливають на засоби до існування людини, мають супроводжуватися прозорими правилами та гарантіями, якими реально можна скористатися. Апеляція Uber покаже, як ці вимоги застосовуватимуться в ситуації, коли компанія стверджує, що ризики виявляють алгоритми, але люди нібито залишаються залученими до процесу.