Nizozemský regulátor udělil Uberu rekordní pokutu

Dne 21. srpna 2026 oznámil Nizozemský úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens), že udělil společnosti Uber Technologies Inc. pokutu 825 milionů eur, přibližně 966 milionů dolarů, za porušení evropského obecného nařízení o ochraně osobních údajů. Pokuta pro Uber za porušení GDPR se zaměřuje na používání automatizovaných systémů společnosti k pozastavení a deaktivaci účtů řidičů, aniž by těmto řidičům bylo poskytnuto řádné oznámení nebo smysluplná možnost rozhodnutí napadnout.

Tato pokuta patří mezi největší opatření na vymáhání GDPR, která kdy byla vydána, a doplňuje rostoucí seznam pokut, které Uber od stejného regulátora obdržel. V roce 2024 uložil nizozemský úřad pro ochranu osobních údajů Uberu pokutu 290 milionů eur za nesprávné předávání údajů do Spojených států, přičemž zjistil, že společnost nesplnila přísné požadavky GDPR na přesun osobních údajů mimo Evropský hospodářský prostor. Tato nejnovější, podstatně vyšší pokuta naznačuje, že nizozemští regulátoři vnímají spíše vzorec než izolovaný nedostatek v dodržování předpisů.

Proč je automatizované rozhodování pod drobnohledem

GDPR poskytuje jednotlivcům zvláštní ochranu, když společnosti používají automatizované systémy k rozhodování, která je významně ovlivňují, včetně práva obdržet vysvětlení a práva požádat o lidský přezkum. Deaktivace účtu řidiče, která mu odebere příjem, bez transparentního oznámení nebo odvolacího procesu, je přesně tím druhem automatizovaného rozhodnutí, které mělo nařízení omezit.

Pro společnost, jako je Uber, jejíž obchodní model do značné míry závisí na algoritmickém řízení řidičů, to vytváří strukturální napětí. Automatizované systémy jsou efektivní při odhalování podvodů, porušení bezpečnosti nebo porušení zásad ve velkém rozsahu, ale GDPR vyžaduje, aby tato efektivita nešla na úkor práva osoby rozumět rozhodnutím o ní a napadat je. Když regulátoři zjistí, že mechanismy oznámení a odvolání byly nedostatečné nebo neexistující, výsledné pokuty mohou být přísné, právě proto, že se porušení dotýká základní ochrany, nikoli technického selhání v dokumentaci.

Součást širšího vzorce odpovědnosti za data

Tato pokuta neexistuje izolovaně. Regulátoři a soudy napříč odvětvími stále častěji ukládají podstatné pokuty, když společnosti nezajistí ochranu toho, jak jsou osobní údaje shromažďovány, zpracovávány nebo používány k přijímání závažných rozhodnutí. Ve vzdělávacím sektoru například vyrovnání společnosti PowerSchool ve výši 17,25 milionu dolarů za sledování studentů v systému Naviance ukázalo, jak tiše shromažďovaná data, v tomto případě aktivita studentů, mohou po odhalení spustit významnou právní expozici. Selhání ochrany údajů se neomezují pouze na úmyslné zneužití; incidenty jako zveřejnění údajů zákazníků společnosti Iliad Italia k prodeji na dark webu dokazují, že osobní údaje mohou být vystaveny prostřednictvím narušení spíše než podnikové politiky, a přesto společnosti čelí regulačním a reputačním důsledkům.

V souhrnu tyto případy poukazují na konzistentní téma: organizace, které zacházejí s osobními údaji nebo s automatizovanými rozhodnutími postavenými na těchto údajích jako s nízko priorítní záležitostí shody, se stále častěji ocitají na špatné straně pokut v řádech desítek i stovek milionů.

Co to znamená pro vás

Pokud řídíte pro Uber nebo podobnou platformu, tento případ vám připomíná, že máte práva podle GDPR (pokud jste v EU) týkající se rozhodnutí o vašem účtu učiněných automatizovanými systémy. Obecně máte právo vědět, proč bylo automatizované rozhodnutí učiněno, a požádat o přezkum lidskou osobou, nejen algoritmem.

Pro běžné uživatele aplikací pro přepravu a dalších platforem, které silně spoléhají na datově řízenou správu účtů, tato pokuta také zdůrazňuje, jak velká část vašeho vztahu s těmito společnostmi probíhá prostřednictvím automatizovaných systémů, které nikdy přímo nevidíte. Stojí za to pravidelně přezkoumávat, jaká oprávnění a přístup k datům jste udělili aplikacím, a pochopit, že vysoká pokuta, jako je tato, je známkou toho, že regulátoři aktivně sledují, jak jsou tyto systémy používány, nikoli důkazem, že se základní postupy již změnily.

Praktická doporučení

  • Pokud pracujete v gig ekonomice v EU, vězte, že GDPR vám dává právo na vysvětlení a lidský přezkum, když automatizovaný systém učiní významné rozhodnutí o vašem účtu nebo příjmu.
  • Archivujte si záznamy o jakémkoli pozastavení účtu, oznámení o deaktivaci nebo odvolací korespondenci, kterou od platformy obdržíte; tato dokumentace je důležitá, pokud budete někdy potřebovat rozhodnutí napadnout.
  • Přezkoumejte nastavení soukromí a oprávnění k datům, která jste udělili aplikacím pro gig práci, doručování nebo přepravu, a odeberte přístup, který již nepotřebujete.
  • Sledujte regulační aktualizace v tomto případě, protože pokuty této výše podle GDPR často spouštějí odvolání a mohou trvat roky, než budou plně vyřešeny, což může ovlivnit, jak budou platformy fungovat do budoucna.

Pokuta pro Uber za porušení GDPR je významným mezníkem v probíhajícím úsilí Evropy držet velké technologické platformy k odpovědnosti za to, jak automatizované systémy ovlivňují živobytí skutečných lidí. Zda okamžitě změní postupy Uberu, se teprve uvidí, ale přidává skutečnou finanční váhu argumentu, že práva na ochranu údajů se vztahují stejně na algoritmická rozhodnutí jako na tradiční nakládání s daty.