荷蘭數據保障局（AP）向Uber罰款8.25億歐元，約合9.66億美元，理由是Uber在2020至2022年間，利用自動化系統處理歐洲司機的暫停及停用帳戶決定，卻沒有充分告知受影響人士，也沒有提供足夠的人手監督。12

Uber否認決定中的部分事實及罰款金額，並表示會提出上訴。1

AP指Uber如何使用自動化系統？

根據AP的決定，Uber曾利用自動化系統，暫時停用被懷疑涉及欺詐的司機帳戶；部分司機則可能因乘客評分偏低而被永久停用帳戶。監管機構指，系統可以在缺乏有意義的人手覆核下作出或觸發相關決定，而受影響司機亦沒有獲得足夠資訊，了解自動化決策在帳戶處理中扮演甚麼角色。145

被報道使用的欺詐偵測訊號，包括行程異常地長——可能被視為司機刻意繞路——以及司機接受了自己並不打算接載的行程。5

問題並不只是Uber用軟件偵測可疑行為，或者用評分衡量服務質素。AP真正關注的是：這些自動化處理可能決定一名司機能否繼續使用平台，亦即能否繼續靠平台賺錢。

為何GDPR視這類決定為「重大影響」？

歐盟《一般資料保障條例》（GDPR）一般限制企業只根據自動化處理作出決定，尤其是那些會帶來法律後果，或對個人造成其他重大影響的決定。荷蘭監管機構將這項保障形容為，在重要決定中獲得「人手介入」或「人性化審視」的權利。

對平台司機而言，失去Uber帳戶並非普通功能改動。短期暫停接單可能即時打斷收入；永久停用則可能令司機無法再透過該平台工作。正因為涉及生計，AP認為這些處分不是一般營運操作，而是對個人有重大影響的決定。45

即使某種自動化決定在GDPR下屬於容許範圍，企業亦可能需要提供多項保障，包括：

• 清楚解釋自動化決策如何運作；
• 讓受影響人士要求由真人介入；
• 由真正有權重新檢視及更改結果的人員覆核；
• 提供有效而非流於形式的申訴渠道。

投訴如何開始？為何由荷蘭處理？

案件源於法國司機的投訴。Uber前司機Brahim Ben Ali收集了約170名受影響司機的證詞，並獲瑞士數碼權益組織PersonalData.io協助。現有報道提到的法國申訴人數為171人。413

案件由荷蘭AP處理，是因為Uber相關的歐洲業務及GDPR下的監管安排設於荷蘭，讓荷蘭監管機構可以處理涉及其他歐洲國家司機的跨境個案。17

事件亦反映，個別人士的投訴有時可以揭開大型平台演算法的運作方式。司機原本只是希望了解帳戶被處理的原因，調查其後卻擴大至檢視Uber整套自動化決策架構，而不只是個別暫停或封戶結果。13

8.25億歐元罰款有多大？

這筆8.25億歐元罰款被報道為目前歐盟GDPR下第二高的處罰，僅次於Meta面對的12億歐元罰款。12

它亦遠高於Uber較早前在荷蘭面對的2.9億歐元GDPR罰款。後者涉及把歐洲司機的個人資料轉移到美國，並非自動化停用帳戶的問題。

個案	罰款	主要問題
Uber自動化司機決策個案	8.25億歐元	在沒有充分通知或人手監督下，自動暫停及停用司機帳戶。12
Uber較早前的荷蘭GDPR個案	2.9億歐元	將歐洲司機資料轉移到美國。
Meta的GDPR紀錄罰款	12億歐元	將Facebook用戶資料轉移到美國。110

需要留意的是，罰款屬於監管處分，不代表個別司機會自動獲得因收入損失而來的賠償。

司機有機會獲得賠償嗎？

數碼權益倡議者認為，這項裁決可能為司機日後提出集體法律行動、向Uber追討賠償提供基礎。據報道，PersonalData.io正準備提出集體訴訟。13

不過，這類法律行動與AP的罰款是兩回事。司機仍要證明索償的法律基礎，以及個別或集體損失的範圍；監管罰款本身不會自動轉化為司機的賠償金。713

Uber怎樣回應？

Uber表示強烈不同意AP的決定，並認為罰款不成比例。公司質疑部分事實調查結果及罰款金額，並計劃提出上訴。13

Uber又表示，被質疑的政策已於2021至2022年停止。公司稱現行程序包括人手覆核及上訴渠道，並主張大部分暫停都只是短期措施，永久停用帳戶不會在沒有真人介入的情況下發生。17

以上是Uber的立場；AP今次調查則針對裁決所涵蓋的歷史做法。最終哪些調查結論及罰款部分會維持，仍可能取決於上訴結果。

對平台及「演算法管理」有何啟示？

這宗案件將私隱執法的焦點，由大家熟悉的資料收集及儲存問題，推向更直接的工作與收入層面：當個人資料及自動化分析被用來控制一個人能否接單、工作或使用平台時，GDPR同樣可能介入。14

對科技公司及零工經濟平台而言，訊息相當清楚：欺詐偵測、評分系統及帳戶處分不能被當成「只係軟件運作」的普通程序。企業需要記錄及解釋決策邏輯，通知受影響人士，提供有實質作用的人手重新審視，以及讓對方有效挑戰不利結果。

當一個系統可以令工人短期內無法賺錢，甚至永久失去平台收入來源，監管風險尤其明顯。到了這個程度，名義上有一個「覆核」按鈕未必足夠；人手介入必須真的能夠重新檢查證據，並在事實或情況有需要時改變原有決定。

荷蘭數據保障局（AP）向Uber罰款8.25億歐元，約合9.66億美元，理由是Uber在2020至2022年間，利用自動化系統處理歐洲司機的暫停及停用帳戶決定，卻沒有充分告知受影響人士，也沒有提供足夠的人手監督。12

Uber否認決定中的部分事實及罰款金額，並表示會提出上訴。1

AP指Uber如何使用自動化系統？

根據AP的決定，Uber曾利用自動化系統，暫時停用被懷疑涉及欺詐的司機帳戶；部分司機則可能因乘客評分偏低而被永久停用帳戶。監管機構指，系統可以在缺乏有意義的人手覆核下作出或觸發相關決定，而受影響司機亦沒有獲得足夠資訊，了解自動化決策在帳戶處理中扮演甚麼角色。145

被報道使用的欺詐偵測訊號，包括行程異常地長——可能被視為司機刻意繞路——以及司機接受了自己並不打算接載的行程。5

問題並不只是Uber用軟件偵測可疑行為，或者用評分衡量服務質素。AP真正關注的是：這些自動化處理可能決定一名司機能否繼續使用平台，亦即能否繼續靠平台賺錢。

為何GDPR視這類決定為「重大影響」？

歐盟《一般資料保障條例》（GDPR）一般限制企業只根據自動化處理作出決定，尤其是那些會帶來法律後果，或對個人造成其他重大影響的決定。荷蘭監管機構將這項保障形容為，在重要決定中獲得「人手介入」或「人性化審視」的權利。

對平台司機而言，失去Uber帳戶並非普通功能改動。短期暫停接單可能即時打斷收入；永久停用則可能令司機無法再透過該平台工作。正因為涉及生計，AP認為這些處分不是一般營運操作，而是對個人有重大影響的決定。45

即使某種自動化決定在GDPR下屬於容許範圍，企業亦可能需要提供多項保障，包括：

• 清楚解釋自動化決策如何運作；
• 讓受影響人士要求由真人介入；
• 由真正有權重新檢視及更改結果的人員覆核；
• 提供有效而非流於形式的申訴渠道。

投訴如何開始？為何由荷蘭處理？

案件源於法國司機的投訴。Uber前司機Brahim Ben Ali收集了約170名受影響司機的證詞，並獲瑞士數碼權益組織PersonalData.io協助。現有報道提到的法國申訴人數為171人。413

案件由荷蘭AP處理，是因為Uber相關的歐洲業務及GDPR下的監管安排設於荷蘭，讓荷蘭監管機構可以處理涉及其他歐洲國家司機的跨境個案。17

事件亦反映，個別人士的投訴有時可以揭開大型平台演算法的運作方式。司機原本只是希望了解帳戶被處理的原因，調查其後卻擴大至檢視Uber整套自動化決策架構，而不只是個別暫停或封戶結果。13

8.25億歐元罰款有多大？

這筆8.25億歐元罰款被報道為目前歐盟GDPR下第二高的處罰，僅次於Meta面對的12億歐元罰款。12

它亦遠高於Uber較早前在荷蘭面對的2.9億歐元GDPR罰款。後者涉及把歐洲司機的個人資料轉移到美國，並非自動化停用帳戶的問題。

個案	罰款	主要問題
Uber自動化司機決策個案	8.25億歐元	在沒有充分通知或人手監督下，自動暫停及停用司機帳戶。12
Uber較早前的荷蘭GDPR個案	2.9億歐元	將歐洲司機資料轉移到美國。
Meta的GDPR紀錄罰款	12億歐元	將Facebook用戶資料轉移到美國。110

需要留意的是，罰款屬於監管處分，不代表個別司機會自動獲得因收入損失而來的賠償。

司機有機會獲得賠償嗎？

數碼權益倡議者認為，這項裁決可能為司機日後提出集體法律行動、向Uber追討賠償提供基礎。據報道，PersonalData.io正準備提出集體訴訟。13

不過，這類法律行動與AP的罰款是兩回事。司機仍要證明索償的法律基礎，以及個別或集體損失的範圍；監管罰款本身不會自動轉化為司機的賠償金。713

Uber怎樣回應？

Uber表示強烈不同意AP的決定，並認為罰款不成比例。公司質疑部分事實調查結果及罰款金額，並計劃提出上訴。13

Uber又表示，被質疑的政策已於2021至2022年停止。公司稱現行程序包括人手覆核及上訴渠道，並主張大部分暫停都只是短期措施，永久停用帳戶不會在沒有真人介入的情況下發生。17

以上是Uber的立場；AP今次調查則針對裁決所涵蓋的歷史做法。最終哪些調查結論及罰款部分會維持，仍可能取決於上訴結果。

對平台及「演算法管理」有何啟示？

這宗案件將私隱執法的焦點，由大家熟悉的資料收集及儲存問題，推向更直接的工作與收入層面：當個人資料及自動化分析被用來控制一個人能否接單、工作或使用平台時，GDPR同樣可能介入。14

對科技公司及零工經濟平台而言，訊息相當清楚：欺詐偵測、評分系統及帳戶處分不能被當成「只係軟件運作」的普通程序。企業需要記錄及解釋決策邏輯，通知受影響人士，提供有實質作用的人手重新審視，以及讓對方有效挑戰不利結果。

當一個系統可以令工人短期內無法賺錢，甚至永久失去平台收入來源，監管風險尤其明顯。到了這個程度，名義上有一個「覆核」按鈕未必足夠；人手介入必須真的能夠重新檢查證據，並在事實或情況有需要時改變原有決定。