Какво е нарушил Uber съгласно GDPR

Нидерландският орган за защита на данните (Autoriteit Persoonsgegevens) наложи глоба от 825 милиона евро на Uber, приблизително 966 милиона долара, което я прави една от най-големите санкции, налагани някога съгласно Общия регламент за защита на данните. Глобата е свързана с използването от Uber на автоматизирани системи за спиране или деактивиране на акаунти на шофьори. Съгласно GDPR, физическите лица имат право да разберат как се вземат автоматизираните решения, които ги засягат, и да оспорват тези решения пред човешки контрольор. Регулаторите установиха, че процесът на Uber за отстраняване на шофьори, понякога със значителни финансови последици, не е предоставял на засегнатите шофьори достатъчна прозрачност или смислен начин за оспорване на резултата.

Това не е първият сблъсък на Uber с нидерландските регулатори. През 2024 г. същият орган глоби Uber с 290 милиона евро за прехвърляне на лични данни на шофьори от ЕС към сървъри в Съединените щати без подходящи гаранции. Този случай включваше Стандартни договорни клаузи, правния механизъм, който компаниите използват, за да оправдаят прехвърлянето на европейски данни в чужбина. Съобщава се, че Uber е спрял да използва тези клаузи след август 2021 г., оставяйки данните на шофьорите недостатъчно защитени по време на международни трансфери. Заедно, двете санкции рисуват картина на компания, която многократно се е борила да приведе вътрешните си практики за данни в съответствие с основните изисквания на GDPR относно прозрачността, съгласието и трансграничните трансфери.

Как всъщност работи прилагането на GDPR

GDPR се прилага от националните органи за защита на данните във всяка държава-членка на ЕС, а не от единен централизиран европейски регулатор. Тъй като европейските операции на Uber са със седалище в Нидерландия, нидерландският орган пое водеща роля в този случай, подобно на това как Комисията за защита на данните на Ирландия се зае с отделна глоба от 1,2 милиарда евро срещу Meta през 2023 г. за нарушения на поверителността, свързани с трансфери на данни, глоба, която Meta е обжалвала.

Тази структура означава, че органът, който наблюдава дадена компания, зависи от това къде се намира основното ѝ седалище в ЕС, а принудителните действия могат да отнемат години, за да приключат. Регулаторите разследват жалби, изискват документация и налагат глоби, които компаниите често обжалват, удължавайки допълнително процеса. За читателите, които се опитват да разберат как се развиват тези разследвания и какви правомощия всъщност притежават регулаторите, обяснението на CNIL предлага полезен поглед върху това как работи един от най-активните органи за защита на данните в Европа, тъй като същите основни принципи на прилагане важат във всички държави-членки на ЕС, включително Нидерландия.

Какво означава това за вашите лични данни

Мащабът на глобата на Uber, която сега възлиза на над 1,1 милиарда евро в рамките на две принудителни действия, отразява колко сериозно регулаторите на ЕС третират автоматизираното вземане на решения и нарушенията при трансфер на данни. Но размерът на глобата не отменя въздействието върху хората, чиито данни са били неправилно обработени на първо място. Шофьори, чиито акаунти са били автоматично спрени без ясно обяснение или възможност за обжалване, са претърпели реални финансови загуби и никаква глоба, платена на регулатор, не ги компенсира пряко за това.

Този случай е напомняне, че GDPR съществува, защото компаниите, дори големите и добре финансираните, не винаги се справят сами с обработката на данни. Автоматизираните системи могат да вземат важни решения за прехраната на хората с малка прозрачност, освен ако регулаторите не се намесят. Ако компания като Uber може да натрупа стотици милиони в санкции за тези практики, това е сигнал, че потребителите не трябва да предполагат, че дадена платформа автоматично зачита правата им върху данните само защото работи в ЕС.

Стъпки, които потребителите могат да предприемат, за да ограничат излагането си

Докато регулаторите се занимават с прилагането, физическите лица все пак имат практически стъпки, които могат да предприемат. Прегледайте настройките за поверителност и разрешенията за данни в приложенията, които използвате редовно, включително платформите за споделено пътуване и гиг икономика, и ограничете данните, които споделяте, когато е възможно. Ако смятате, че автоматизирано решение ви е засегнало несправедливо, GDPR ви дава право да поискате човешки преглед и да поискате от компанията да обясни логиката зад това решение. Можете също така да подадете жалба директно до вашия национален орган за защита на данните, ако компанията не отговаря.

Поддържането на личните данни минимални, където е възможно, използването на силна сигурност на акаунта и информираността за това как платформите обработват трансграничните трансфери на данни – всичко това намалява излагането ви на проблемите от вида, които доведоха до глобите на Uber.

По-широката картина

Глобата от 825 милиона евро на Uber за данни на шофьори подчертава по-широка истина за прилагането на GDPR: защитата на поверителността работи само когато регулаторите активно държат компаниите отговорни, а потребителите се възползват от разбирането на тези защити сами, вместо да предполагат, че корпоративната добронамереност ще запълни празнината. Тъй като все повече автоматизирани системи оформят ежедневните решения, от спиране на акаунти до допустимост за услуги, информираността за правата ви съгласно GDPR е един от най-ефективните инструменти, които имате. Отделете време, за да прегледате как платформите, на които разчитате, обработват данните ви, и не се колебайте да упражните правото си да оспорвате автоматизирани решения, които ви засягат пряко.