Khoản phạt 825 triệu euro đối với Uber không xuất phát từ một vụ rò rỉ dữ liệu. Cơ quan Bảo vệ Dữ liệu Hà Lan (AP) cho rằng Uber đã sử dụng các hệ thống tự động để đình chỉ hoặc vô hiệu hóa tài khoản của tài xế tại châu Âu, nhưng không thông báo đầy đủ rằng quyết định có sự tham gia của thuật toán, cũng như không tạo ra cơ hội thực chất để con người xem xét và để tài xế phản đối kết quả. Quyết định liên quan đến các hoạt động trong giai đoạn 2020–2022.
1
3
6
Điều gì khiến Uber bị phạt?
Trọng tâm vụ việc là cách Uber dùng phần mềm để đưa ra các quyết định ảnh hưởng trực tiếp đến khả năng tiếp tục làm việc của tài xế trên nền tảng. Theo các thông tin về quyết định của AP, hệ thống được sử dụng với những tài xế bị nghi gian lận và những người có điểm đánh giá khách hàng thấp.
2
4
Các dấu hiệu bị hệ thống xem là đáng ngờ gồm những chuyến đi dài bất thường — có thể bị suy đoán là tài xế cố tình đi đường vòng để tăng cước — hoặc việc nhận chuyến dù bị cho là không có ý định hoàn thành. Tuy nhiên, các nguồn hiện có chỉ cho thấy đây là những hành vi mà hệ thống của Uber được thiết kế để phát hiện, chứ không chứng minh độc lập rằng mọi tài xế bị gắn cờ đều thực sự vi phạm.
4
17
19
Mối lo ngại của cơ quan quản lý vì thế không chỉ nằm ở bản thân quyết định, mà còn ở quy trình phía sau. Việc bị đình chỉ hoặc vô hiệu hóa tài khoản có thể ảnh hưởng đáng kể đến thu nhập của tài xế. AP cho biết Uber đã không thông tin đúng mức về việc sử dụng quyết định tự động, đồng thời không bảo đảm sự tham gia đầy đủ của con người hoặc một con đường hiệu quả để tài xế yêu cầu xem xét lại.
3
5
6
Vấn đề GDPR: quyết định quan trọng không thể bị che khuất sau thuật toán
Quy định Bảo vệ dữ liệu chung của Liên minh châu Âu (GDPR) hạn chế những quyết định chỉ dựa trên xử lý tự động nếu chúng tạo ra hậu quả pháp lý hoặc ảnh hưởng tương tự ở mức đáng kể. Trong những trường hợp thuộc phạm vi bảo vệ này, các biện pháp bảo đảm có thể bao gồm sự can thiệp thực chất của con người và quyền phản đối quyết định.
3
4
Đó là ý nghĩa pháp lý cốt lõi của vụ Uber. Tranh chấp không đơn giản là việc phần mềm có được phép phát hiện hoạt động đáng ngờ hay không. Câu hỏi lớn hơn là liệu một nền tảng có thể để quy trình tự động quyết định rằng một tài xế mất quyền tiếp cận công việc mà không thông báo rõ ràng, không có người thực sự xem xét và không có cách thức thiết thực để yêu cầu đánh giá lại hay không.
Nếu được giữ nguyên, khoản phạt này sẽ là mức phạt lớn thứ hai từng được ban hành theo GDPR, sau khoản 1,2 tỷ euro mà Ireland áp dụng với Meta vào năm 2023. Vụ Meta liên quan đến việc chuyển dữ liệu của người dùng Facebook tại châu Âu sang Mỹ, nên hai vụ việc dựa trên những cáo buộc khác nhau, dù đều cho thấy quy mô thực thi pháp luật bảo vệ dữ liệu tại châu Âu.
3
6
14
Uber phản bác ra sao?
Uber không đồng ý với kết luận của AP và cho rằng mức phạt là không tương xứng. Công ty lập luận rằng các hệ thống của mình là hợp pháp và có sự giám sát của con người, thay vì hoàn toàn dựa vào quyết định tự động. Lập trường này mâu thuẫn trực tiếp với cách cơ quan quản lý mô tả quy trình đình chỉ và vô hiệu hóa tài khoản.
6
7
Uber cũng cho rằng số tài xế bị vô hiệu hóa vì điểm đánh giá thấp tương đối nhỏ. Reuters dẫn số liệu do công ty đưa ra, theo đó có 126 tài xế tại châu Âu bị vô hiệu hóa vì lý do này trong năm 2021. Đây là lập luận của Uber về quy mô vụ việc, không phải một kết luận đã được các tài liệu nguồn hiện có xác lập độc lập.
8
9
Do đó, nếu vụ việc được kháng cáo, hai câu hỏi quan trọng sẽ là: con người thực tế đã tham gia vào các quyết định liên quan ở mức nào, và mức độ tham gia đó có đáp ứng tiêu chuẩn “xem xét thực chất” theo GDPR hay không. Các thông tin hiện có chưa cho biết tòa án hoặc cơ quan giải quyết kháng cáo sẽ kết luận thế nào.
Vì sao Hà Lan xử lý vụ việc liên quan đến tài xế trên toàn châu Âu?
Vụ việc bắt đầu từ các khiếu nại của tài xế, trong đó có một khiếu nại tại Pháp, nhưng được AP của Hà Lan xử lý. Các bản tin mô tả đây là một vụ việc xuyên biên giới theo GDPR, liên quan đến hoạt động của Uber tại châu Âu.
17
20
Nguồn tài liệu hiện có chưa cung cấp đủ chi tiết để khẳng định chắc chắn vì sao Hà Lan trở thành cơ quan đầu mối. Vì vậy, không nên quy câu hỏi về thẩm quyền cho một lời giải thích duy nhất nếu chưa có bằng chứng trực tiếp. Điều được xác nhận là AP đã điều tra các quyết định liên quan đến tài khoản tài xế tại châu Âu và ban hành mức phạt đối với giai đoạn 2020–2022.
1
3
20
Điều gì xảy ra tiếp theo?
Uber cho biết sẽ kháng cáo. Vì vậy, quyết định 825 triệu euro chưa chắc là số tiền cuối cùng công ty phải nộp.
6
7
9
Các tài xế bị ảnh hưởng cũng có thể yêu cầu bồi thường nếu chứng minh được Uber đã vi phạm GDPR, hành vi vi phạm có liên hệ với việc tài khoản của họ bị đình chỉ hoặc vô hiệu hóa, và họ thực sự chịu tổn thất tài chính cụ thể. Tuy nhiên, các nguồn hiện có chưa cho thấy khoản bồi thường nào đã được trao, cũng chưa chứng minh rằng những yêu cầu trong tương lai chắc chắn sẽ thành công.
Bài học rộng hơn từ vụ việc không chỉ nằm ở con số gần 1 tỷ euro: các nền tảng có thể dùng hệ thống tự động để phát hiện dấu hiệu lạm dụng, nhưng những quyết định ảnh hưởng đáng kể đến sinh kế của một người phải đi kèm sự minh bạch và các biện pháp bảo vệ mà người trong cuộc thực sự có thể sử dụng. Kháng cáo của Uber sẽ cho thấy các yêu cầu này được áp dụng ra sao trong trường hợp công ty nói rằng thuật toán chỉ nhận diện rủi ro, còn con người vẫn tham gia ở một khâu nào đó của quy trình.