Vì sao Uber đối mặt khoản phạt GDPR 825 triệu euro vì đình chỉ tài xế bằng thuật toán?

Uber đang đối mặt khoản phạt 825 triệu euro từ Cơ quan Bảo vệ Dữ liệu Hà Lan (AP) vì sử dụng hệ thống tự động để đình chỉ hoặc vô hiệu hóa tài khoản tài xế mà không thông báo đầy đủ và không bảo đảm các quyền cần thiết đối với những quyết định tự động có tác động lớn. Nếu được giữ nguyên, đây sẽ là khoản phạt lớn thứ hai trong lịch sử thực thi Quy định Bảo vệ Dữ liệu Chung của Liên minh châu Âu (GDPR), chỉ sau mức 1,2 tỷ euro mà Ireland áp cho Meta năm 2023. Uber cho biết sẽ kháng cáo, vì vậy số tiền cuối cùng vẫn có thể thay đổi.

Trọng tâm vụ việc: thuật toán có thể tước kế sinh nhai

Vấn đề không chỉ nằm ở việc Uber dùng thuật toán để phát hiện dấu hiệu bất thường. Theo các thông tin về quyết định của AP, hệ thống của Uber có thể kích hoạt biện pháp xử lý đối với các trường hợp bị nghi gian lận cước, bị cho là cố tình đi đường vòng để làm tăng giá chuyến, nhận chuyến nhưng không hoàn thành hoặc có điểm đánh giá khách hàng thấp. Những biện pháp này có thể hạn chế, thậm chí chấm dứt, khả năng kiếm tiền của tài xế trên nền tảng.

Theo GDPR, một người nhìn chung không được trở thành đối tượng của quyết định chỉ dựa trên xử lý tự động nếu quyết định đó gây ảnh hưởng đáng kể đến họ mà không đi kèm các biện pháp bảo vệ phù hợp. Các biện pháp này bao gồm sự can thiệp có ý nghĩa của con người, cơ hội trình bày quan điểm và một cơ chế để phản đối hoặc yêu cầu xem xét quyết định.

Kết luận của cơ quan quản lý dường như là quy trình của Uber chưa bảo đảm đầy đủ những quyền trên. Việc chỉ gửi thông báo sau khi thuật toán đã ra quyết định là chưa đủ nếu tài xế không thể hiểu chuyện gì đã xảy ra hoặc không có cơ hội được một bên độc lập đánh giá lại vụ việc một cách thực chất.

Vì sao có người “giám sát” vẫn chưa đủ?

Điểm mấu chốt nằm ở sự khác biệt giữa một người có quyền xem xét lại toàn bộ bằng chứng và một nhân viên chỉ xác nhận kết quả do hệ thống đưa ra. Trong một vụ kiện liên quan trước đó, Tòa Phúc thẩm Amsterdam cho rằng hoạt động kiểm tra mà Uber viện dẫn chỉ mang tính hình thức và bác bỏ việc dựa vào một “con người trong quy trình” trên danh nghĩa.

Phán quyết này giúp giải thích ý nghĩa pháp lý của động thái mới từ AP. Sự tham gia của con người phải có khả năng thay đổi kết quả; đó không thể chỉ là một thủ tục để hợp thức hóa quyết định của thuật toán. Tài xế cũng phải được cung cấp đủ thông tin để có thể phản biện một cách có ý nghĩa.

Nói cách khác, “có người xem qua” không đồng nghĩa với “được con người xét duyệt”. Một quy trình thực chất cần cho phép người đánh giá độc lập kiểm tra dữ kiện, lắng nghe lời giải thích của tài xế và đảo ngược quyết định nếu phát hiện sai sót.

Tài xế được cho là chưa được thông báo điều gì?

Theo các thông tin dựa trên quyết định của cơ quan quản lý, AP nhận định Uber chưa thông báo đầy đủ cho những tài xế bị ảnh hưởng rằng các quy trình tự động được sử dụng để đình chỉ hoặc vô hiệu hóa tài khoản. Khoảng trống thông tin này có ý nghĩa quan trọng: tài xế không thể xác định chính xác vì sao họ bị mất quyền truy cập hoặc phải khiếu nại quyết định nền tảng dựa trên cơ sở nào.

Vụ việc vì thế xoay quanh hai vấn đề liên quan:

• Vấn đề về quyết định: hệ thống tự động có thể đưa ra biện pháp gây hậu quả nghiêm trọng mà không có sự can thiệp đầy đủ của con người.
• Vấn đề về tính minh bạch: tài xế không được thông tin đầy đủ về việc quy trình tự động được sử dụng ra sao và nó ảnh hưởng thế nào đến họ.

Một doanh nghiệp không chỉ phải giải thích mình đã thực hiện biện pháp gì, mà còn phải cho người bị ảnh hưởng biết cách yêu cầu một cuộc xem xét thực sự khi hệ thống tự động có nguy cơ làm gián đoạn nguồn thu nhập của họ.

Vì sao khiếu nại từ Pháp lại do Hà Lan xử lý?

Khiếu nại bắt nguồn từ Pháp, nhưng AP của Hà Lan trở thành cơ quan đầu mối vì trụ sở châu Âu của Uber đặt tại Hà Lan. Theo cơ chế “một cửa” của GDPR, trong các vụ việc xuyên biên giới, cơ quan giám sát tại quốc gia nơi doanh nghiệp đặt cơ sở chính ở EU thường giữ vai trò dẫn dắt, trong khi các cơ quan liên quan ở những quốc gia khác vẫn có thể tham gia.

Cơ chế này nhằm tránh việc một tập đoàn đa quốc gia phải đối mặt với các cuộc điều tra hoàn toàn riêng biệt tại mọi quốc gia nơi hoạt động của họ gây ảnh hưởng. Đây cũng là lý do một khiếu nại do các tài xế ở Pháp khởi xướng có thể dẫn tới quyết định từ cơ quan quản lý Hà Lan.

Uber phản hồi ra sao?

Uber cho biết sẽ kháng cáo và gọi quyết định cùng mức phạt là không tương xứng. Công ty nói rằng họ có quy trình xem xét bởi con người và cho phép tài xế phản đối quyết định đình chỉ. Uber cũng cho biết các trường hợp đình chỉ do nghi ngờ gian lận là tạm thời, đồng thời phủ nhận việc tài khoản bị vô hiệu hóa vĩnh viễn chỉ dựa trên tự động hóa.

Uber còn nói rằng hiện công ty không còn đưa ra quyết định vô hiệu hóa vĩnh viễn chỉ dựa vào hệ thống tự động. Đây là lập trường của Uber; khoản phạt của AP liên quan đến các hoạt động được xem xét trong giai đoạn liên quan, chủ yếu từ năm 2020 đến năm 2022.

Tác động rộng hơn đối với quản lý bằng thuật toán

Vụ việc cho thấy vì sao quản lý bằng thuật toán đang trở thành vấn đề lớn về quyền riêng tư và lao động tại châu Âu. Các hệ thống bị xem xét không chỉ đề xuất quảng cáo hay sắp xếp dữ liệu khách hàng thông thường. Chúng có thể quyết định một người lao động còn được tiếp cận nền tảng cung cấp thu nhập hay không.

Bài học tuân thủ rộng hơn là: một chính sách “có con người xem xét” khó được coi là đủ nếu người xem xét không thể độc lập kiểm tra sự việc, lắng nghe người bị ảnh hưởng và đảo ngược kết quả tự động. Các doanh nghiệp dùng hệ thống tự động để tuyển hoặc xét duyệt người làm việc, phát hiện gian lận, hạn chế tài khoản hay vô hiệu hóa tài khoản cần tính đến tính minh bạch và khả năng khiếu nại ngay tại thời điểm hệ thống tác động đến kế sinh nhai của một người.

Vụ việc cũng nối dài lịch sử thực thi GDPR của Uber tại Hà Lan. Năm 2024, cơ quan Hà Lan đã phạt riêng Uber 290 triệu euro vì chuyển dữ liệu cá nhân của các tài xế châu Âu sang Mỹ mà không có biện pháp bảo vệ phù hợp. Trong khi đó, khoản phạt 1,2 tỷ euro đối với Meta liên quan đến việc chuyển dữ liệu của người dùng Facebook châu Âu sang Mỹ, chứ không phải hoạt động quản lý người lao động.

Hiện khoản phạt 825 triệu euro vẫn có thể thay đổi do Uber đã tuyên bố kháng cáo. Tuy nhiên, thông điệp pháp lý cốt lõi đã khá rõ: theo GDPR, quản lý bằng thuật toán không thể trở thành một “hộp đen” khi quyết định của nó có thể khiến một người mất khả năng làm việc.