Uber為何面臨8.25億歐元GDPR重罰？關鍵在自動停權與「象徵性人工審查」

Uber面臨荷蘭資料保護局（AP）開出的8.25億歐元處分，核心爭議不是公司是否使用演算法偵測可疑行為，而是這些系統可能在未充分告知司機、也沒有提供有效人工覆核與申訴機會的情況下，直接限制甚至終止司機透過平台工作的能力。

如果金額最終維持不變，這將成為《歐盟一般資料保護規則》（GDPR）實施以來第二高的處分，僅次於愛爾蘭在2023年對Meta開出的12億歐元罰款。不過，Uber已表示將提出上訴，因此8.25億歐元目前仍可能調整。

爭議核心：演算法決定可能影響生計

據報導，AP審查的做法涵蓋Uber在2020年至2022年間使用的自動化判定機制。系統可能針對以下情況標記或處理司機帳戶：

• 疑似車資詐欺；
• 被指為了提高車資而刻意繞路；
• 接受行程後疑似未完成載客；
• 乘客評分偏低。

這些判定後續可能導致司機暫時停權、停用帳戶，甚至失去接單資格。換言之，系統處理的並非單純的廣告推薦或例行資料分類，而是可能直接影響一個人收入來源的決定。

GDPR對「完全依賴自動化處理、且對個人產生重大影響」的決定設有保障要求。一般而言，當決定會對個人造成重大影響時，當事人應能獲得有意義的人工作為介入、表達自身立場的機會，以及提出異議或要求重新審查的途徑。

AP認為，Uber的流程未充分提供這些保障。若司機只是在演算法做出決定後收到通知，卻無法了解發生了什麼、說明自身情況，或取得真正獨立的重新判斷，單純「事後通知」並不足夠。

為什麼「有人在流程中」仍可能不合格？

關鍵在於，人工審查必須是真正能改變結果的審查，而不能只是替自動化結論蓋章。

阿姆斯特丹上訴法院在一宗相關案件中，認定Uber所稱的人工審查只是象徵性程序，並不接受以名義上的「人在迴路中」（human in the loop）作為充分保障。

這項先前裁決有助於理解本案的法律重點：審查人員必須能獨立檢視證據、聽取司機說明，並在必要時推翻系統判定。若人工人員實際上只能確認演算法結果，或無法接觸足夠資料重新評估，這種人工介入就可能只是形式上的安排。

司機被指未獲充分告知什麼？

根據以監管機關決定為基礎的報導，AP認為Uber沒有充分告知受影響司機：帳戶停權或停用是由自動化流程促成，以及這些流程如何影響他們。

這形成兩項相互關聯的合規問題：

• **決策問題：**自動化處理可能在沒有充分人工介入的情況下，產生重大後果。
• **透明度問題：**司機未獲得足夠資訊，無法理解自動化流程的作用，也難以有效挑戰決定。

因此，本案不只是在問「Uber最後做了什麼」，也在問「司機能否知道為何被處理，以及能否獲得真正的重新審查」。當演算法可能讓一個人失去工作機會時，透明度與可申訴性就不再是附加功能，而是程序的一部分。

為何法國申訴由荷蘭主管機關處理？

案件源自法國的申訴，但由荷蘭AP主導，原因是Uber的歐洲總部位於荷蘭。

這符合GDPR處理跨境案件的「一站式機制」（one-stop-shop）：企業在歐盟的主要營業據點所在國，其資料保護主管機關通常會擔任主導監管機關；其他受影響國家的主管機關則可參與程序。

這套制度旨在避免跨國企業在每個受到影響的歐盟國家，都面對完全分開、彼此重複的主導調查。也因此，即使申訴由法國司機提出，最後仍可能由荷蘭主管機關作出主導決定。

Uber如何回應？

Uber表示將提出上訴，並形容這項決定及處分金額「不成比例」。公司主張，Uber提供人工審查及挑戰停權決定的權利；涉及疑似詐欺的停權屬於暫時措施，也否認帳戶會僅靠自動化系統永久停用。

Uber另外表示，目前已不再僅根據自動化系統作出永久停用決定。不過，這些是Uber對現行做法及案件的說法；AP本次處分針對的是所審查期間的相關實務，主要涵蓋2020年至2022年。

對演算法管理的更大影響

本案凸顯，歐洲的資料保護執法範圍已延伸至「演算法管理」——也就是企業利用自動化系統管理、評估或限制工作者。只要系統能決定一名工作者是否仍可使用平台接案，這就不只是技術或營運問題，也可能成為隱私與勞動權益問題。

對企業而言，較重要的提醒是：一紙「人工審查政策」未必足夠。審查人員必須能獨立查核事實、聽取當事人解釋，並在證據不足時撤銷自動化結果。凡是將自動化系統用於工作者註冊、詐欺偵測、帳戶限制或停用的公司，都需要在系統可能影響收入的節點，提前設計清楚的告知與申訴機制。

這次處分也延續Uber在荷蘭的GDPR監管紀錄。荷蘭主管機關在2024年另案對Uber處以2.9億歐元，理由是公司將歐洲司機的個人資料傳送至美國，且未提供足夠保障。至於Meta在2023年面臨的12億歐元處分，則涉及歐洲Facebook使用者資料傳送至美國，而非工作者管理決策。

目前，Uber的上訴仍可能改變8.25億歐元的最終金額。但本案的訊息已相當明確：在GDPR框架下，當自動化管理可能讓人失去工作，企業不能把決定藏在黑箱裡，也不能用名義上的人工介入取代真正的審查與申訴權。