Holenderski urząd ochrony danych osobowych nałożył na Ubera karę w wysokości niemal 825 mln euro. Według regulatora firma automatycznie blokowała konta kierowców, pozbawiając ich możliwości zarabiania bez odpowiedniego wyjaśnienia i rzeczywistej kontroli człowieka. Uber nie zgadza się z decyzją i zapowiedział odwołanie.
Jedna z najwyższych kar za naruszenie RODO
Karę nałożył holenderski urząd Autoriteit Persoonsgegevens, znany w Holandii pod skrótem AP. Regulator uznał, że Uber dopuścił się poważnego naruszenia europejskich przepisów dotyczących ochrony danych osobowych i automatycznego podejmowania decyzji.
Kwota wynosząca niemal 825 mln euro sprawia, że jest to druga pod względem wysokości kara nałożona dotychczas na podstawie europejskiego ogólnego rozporządzenia o ochronie danych, czyli RODO. Wyższą karę otrzymała jedynie Meta. Irlandzki regulator nałożył w 2023 roku na właściciela Facebooka 1,2 mld euro kary za niezgodne z przepisami przekazywanie danych europejskich użytkowników do Stanów Zjednoczonych.
Decyzja wobec Ubera nie jest jeszcze ostateczna. Firma zapowiedziała, że złoży odwołanie i będzie kwestionować zarówno ustalenia regulatora, jak i wysokość kary.
Algorytm podejrzewał kierowców o oszustwa
Sprawa dotyczy zdarzeń z lat 2018–2022. Automatyczne systemy Ubera analizowały sposób wykonywania przejazdów i zachowanie kierowców. Jeżeli system wykrył coś, co uznał za podejrzane, konto kierowcy mogło zostać czasowo lub trwale zablokowane.
Algorytmy miały wskazywać między innymi kierowców podejrzewanych o celowe wybieranie dłuższych tras, aby podnieść cenę przejazdu. System sprawdzał również przypadki przyjmowania zleceń bez późniejszego wykonania kursu oraz oceny wystawiane przez pasażerów.
Sama możliwość sprawdzania nadużyć nie była głównym problemem. Platforma ma prawo chronić pasażerów i reagować na podejrzenia oszustwa. Według holenderskiego regulatora problem polegał na tym, że decyzje mające bardzo poważne konsekwencje dla kierowców podejmował automatyczny system, bez wystarczającego udziału człowieka.
Zablokowane konto oznaczało utratę dochodu
Dla kierowcy Ubera dostęp do aplikacji jest podstawowym narzędziem pracy. Po zablokowaniu konta nie może on przyjmować kolejnych zleceń. Oznacza to natychmiastowe odcięcie od części lub nawet całości dochodów uzyskiwanych za pośrednictwem platformy.
Autoriteit Persoonsgegevens podkreśla, że komputer nie powinien samodzielnie podejmować decyzji, które mają tak duży wpływ na życie człowieka. Przed zawieszeniem lub wyłączeniem konta sytuację powinien rzeczywiście ocenić pracownik, a kierowca powinien otrzymać jasną informację o przyczynach decyzji.
Zdaniem regulatora w badanych przypadkach kierowcy nie byli odpowiednio informowani o sposobie działania systemu. Brakowało również skutecznej możliwości przedstawienia własnego stanowiska i zakwestionowania decyzji podjętej przez algorytm.
Co europejskie przepisy mówią o automatycznych decyzjach?
Artykuł 22 RODO chroni ludzi przed decyzjami opartymi wyłącznie na automatycznym przetwarzaniu danych, jeżeli mają one skutki prawne lub w podobny sposób istotnie wpływają na ich sytuację. Do takiej kategorii może należeć zablokowanie dostępu do platformy, za pośrednictwem której dana osoba zarabia na życie.
Nie oznacza to całkowitego zakazu wykorzystywania algorytmów. Firmy mogą używać automatycznych systemów do wykrywania podejrzanych zachowań, analizowania ryzyka czy oznaczania spraw wymagających sprawdzenia. Jeżeli jednak ostateczna decyzja ma poważne konsekwencje dla konkretnej osoby, potrzebna może być rzeczywista kontrola człowieka.
Kontrola nie może ograniczać się do automatycznego zatwierdzenia wyniku wygenerowanego przez system. Pracownik powinien mieć możliwość sprawdzenia danych, uwzględnienia wyjaśnień zainteresowanej osoby oraz zmiany decyzji algorytmu.
Osoba, której dotyczy taka decyzja, powinna również wiedzieć, że została ona podjęta przy użyciu automatycznego systemu. Powinna mieć możliwość uzyskania zrozumiałego wyjaśnienia, przedstawienia własnego stanowiska i zwrócenia się o ponowne rozpatrzenie sprawy przez człowieka.
Sprawa zaczęła się od skarg kierowców z Francji
Pierwsze skargi dotyczące sposobu blokowania kont złożyli kierowcy Ubera we Francji. Postępowaniem zajął się jednak holenderski urząd ochrony danych osobowych, ponieważ europejska siedziba Ubera znajduje się w Amsterdamie.
Europejskie przepisy pozwalają, aby sprawę firmy działającej w wielu państwach Unii Europejskiej prowadził regulator kraju, w którym znajduje się jej główna europejska siedziba. Dzięki temu jedna decyzja może dotyczyć sposobu przetwarzania danych kierowców z różnych państw.
Według Reutersa automatyczne decyzje mogły dotyczyć kierowców w wielu krajach Europy. Uber przekazał, że liczba osób objętych trwałą dezaktywacją z powodu niskich ocen była niewielka. Firma twierdzi również, że nie podejmowała decyzji o trwałym zablokowaniu kont wyłącznie za pomocą automatycznego systemu.
Uber zapowiada odwołanie
Uber poinformował, że zdecydowanie nie zgadza się z decyzją holenderskiego regulatora. Firma uważa karę za nieproporcjonalną i zamierza złożyć odwołanie.
Przedstawiciele platformy przekonują, że Uber poważnie traktuje prawa kierowców. Według firmy obecnie przy decyzjach dotyczących zawieszania kont uczestniczą pracownicy, a kierowcy mogą zakwestionować blokadę i poprosić o ponowne sprawdzenie sprawy.
Uber twierdzi również, że część blokad wynikających z podejrzenia oszustwa miała charakter tymczasowy. Firma kwestionuje ustalenie, że konta były trwale wyłączane wyłącznie na podstawie automatycznej decyzji.
Ostateczny wynik sprawy może więc zależeć od postępowania odwoławczego. W przypadku wysokich kar nakładanych na duże firmy technologiczne procesy sądowe często trwają kilka lat, a pierwotne kwoty bywają później zmieniane.
Czy kierowcy otrzymają część z 825 mln euro?
Kara administracyjna nie jest automatycznie dzielona między poszkodowanych kierowców. Jeżeli decyzja utrzyma się po odwołaniu, pieniądze trafią do holenderskiego skarbu państwa.
Kwota 825 mln euro odpowiada mniej więcej 45 euro na każdego mieszkańca Holandii. Nie oznacza to jednak, że mieszkańcy otrzymają bezpośrednią wypłatę. Będzie to jednorazowy wpływ do budżetu państwa.
Kierowcy, którzy uważają, że ponieśli straty przez niezgodne z prawem zablokowanie konta, musieliby dochodzić ewentualnego odszkodowania w oddzielnym postępowaniu. Organizacja PersonalData.io, która pomagała francuskim kierowcom w uzyskaniu informacji o decyzjach algorytmicznych, zapowiedziała przygotowanie pozwu zbiorowego przeciwko Uberowi.
To ważna decyzja także poza Uberem
Sprawa ma znaczenie nie tylko dla kierowców korzystających z aplikacji Uber. Coraz więcej firm wykorzystuje automatyczne systemy do przydzielania zleceń, oceniania wydajności, ustalania grafików, wykrywania nieprawidłowości i podejmowania decyzji dotyczących dalszej współpracy.
Dotyczy to między innymi dostawców jedzenia, kurierów, pracowników magazynów, osób zatrudnianych przez platformy internetowe oraz pracowników tymczasowych. Algorytm może zdecydować, komu zostanie przydzielona zmiana, kto otrzyma mniej zleceń albo czyje konto zostanie poddane dodatkowej kontroli.
Dla Polaków pracujących w Holandii to ważny sygnał. Sama informacja, że decyzję podjął „system”, nie oznacza, że firma nie musi jej wyjaśnić. Jeżeli automatyczna decyzja pozbawia kogoś pracy, dochodu lub dostępu do ważnej usługi, można zwrócić się do organizacji o wyjaśnienie oraz o ponowne sprawdzenie sprawy przez człowieka.
Warto zachować wiadomości otrzymane od platformy, zrzuty ekranu z aplikacji, datę zablokowania konta oraz wcześniejsze oceny i historię wykonanych zleceń. Takie materiały mogą być potrzebne podczas składania reklamacji, skargi do regulatora lub dochodzenia roszczeń.
To kolejna wysoka kara dla Ubera w Holandii
Nie jest to pierwsza duża kara nałożona na Ubera przez holenderski urząd ochrony danych osobowych. W 2024 roku platforma otrzymała karę w wysokości 290 mln euro w związku z przekazywaniem danych europejskich kierowców do Stanów Zjednoczonych bez zapewnienia wymaganej ochrony.
Wcześniej urząd ukarał firmę kwotą 10 mln euro za brak odpowiedniej przejrzystości w informowaniu kierowców o wykorzystywaniu ich danych. Uber kwestionował również wcześniejsze decyzje regulatora.
Najnowsza sprawa pokazuje, że ochrona danych nie dotyczy wyłącznie wycieków haseł, adresów czy numerów dokumentów. Dane mogą być wykorzystywane również do tworzenia ocen i podejmowania decyzji, które bezpośrednio wpływają na możliwość zarabiania.
Najczęściej zadawane pytania
Dlaczego holenderski urząd ukarał Ubera?
Według Autoriteit Persoonsgegevens Uber automatycznie blokował konta kierowców bez odpowiedniej informacji, rzeczywistej kontroli człowieka i skutecznej możliwości zakwestionowania decyzji. Zablokowanie konta pozbawiało kierowcę dostępu do zleceń i mogło oznaczać utratę dochodu.
Czy Uber musi już zapłacić 825 mln euro?
Uber zapowiedział odwołanie od decyzji. Oznacza to, że ostateczna wysokość kary i obowiązek jej zapłaty mogą zależeć od wyniku dalszego postępowania.
Czy firma może zwolnić pracownika na podstawie decyzji algorytmu?
Europejskie przepisy ograniczają podejmowanie wyłącznie automatycznych decyzji, które mają poważny wpływ na życie człowieka. W wielu przypadkach potrzebna jest rzeczywista kontrola człowieka, możliwość przedstawienia własnego stanowiska oraz zakwestionowania decyzji. Dokładna ocena zależy jednak od rodzaju zatrudnienia i okoliczności konkretnej sprawy.
Źródła: Autoriteit Persoonsgegevens, NOS oraz Reuters.
