Co Uber udělal špatně podle GDPR

Nizozemský úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens) uložil společnosti Uber pokutu ve výši 825 milionů eur, přibližně 966 milionů dolarů, což z ní činí jednu z nejvyšších pokut, jaké kdy byly uděleny podle obecného nařízení o ochraně osobních údajů. Pokuta se týká používání automatizovaných systémů společnosti Uber k pozastavení nebo deaktivaci účtů řidičů. Podle GDPR mají jednotlivci právo porozumět tomu, jak jsou přijímána automatizovaná rozhodnutí, která se jich týkají, a tato rozhodnutí napadnout u lidského recenzenta. Regulátoři zjistili, že proces společnosti Uber pro odpojování řidičů, někdy s významnými finančními důsledky, neposkytoval dotčeným řidičům dostatečnou transparentnost ani smysluplný způsob, jak se proti výsledku odvolat.

Nejde o první střet společnosti Uber s nizozemskými regulátory. V roce 2024 uložil stejný úřad společnosti Uber pokutu 290 milionů eur za převod osobních údajů řidičů z EU na servery ve Spojených státech bez odpovídajících záruk. Tento případ se týkal standardních smluvních doložek, právního mechanismu, který společnosti používají k ospravedlnění převodu evropských dat do zahraničí. Uber tyto doložky údajně přestal používat po srpnu 2021, čímž zůstala data řidičů během mezinárodních převodů nedostatečně chráněna. Obě pokuty dohromady vykreslují obraz společnosti, která se opakovaně potýkala s tím, aby sladila své interní postupy nakládání s daty se základními požadavky GDPR týkajícími se transparentnosti, souhlasu a přeshraničních převodů.

Jak vlastně funguje vymáhání GDPR

GDPR je vymáháno národními úřady pro ochranu osobních údajů v každém členském státě EU, nikoli jediným centralizovaným evropským regulátorem. Protože evropské operace společnosti Uber sídlí v Nizozemsku, vedl tento případ nizozemský úřad, podobně jako irská Komise pro ochranu údajů řešila samostatnou pokutu ve výši 1,2 miliardy eur proti společnosti Meta v roce 2023 za porušení soukromí související s převody dat, kterou se Meta odvolala.

Tato struktura znamená, že úřad, který společnost dohlíží, závisí na tom, kde se nachází hlavní sídlo společnosti v EU, a vymáhací opatření mohou trvat roky, než se dokončí. Regulátoři vyšetřují stížnosti, vyžadují dokumentaci a ukládají pokuty, proti kterým se společnosti často odvolávají, což proces dále prodlužuje. Pro čtenáře, kteří se snaží pochopit, jak tato vyšetřování probíhají a jaké pravomoci regulátoři skutečně mají, nabízí vysvětlení CNIL užitečný pohled na to, jak funguje jeden z nejaktivnějších evropských úřadů pro ochranu osobních údajů, protože stejné základní zásady vymáhání se uplatňují ve všech členských státech EU, včetně Nizozemska.

Co to znamená pro vaše osobní údaje

Rozsah pokuty společnosti Uber, která nyní po dvou donucovacích opatřeních činí celkem přes 1,1 miliardy eur, odráží, jak vážně evropští regulátoři berou porušení automatizovaného rozhodování a převodů dat. Velikost pokuty ale nevrací dopad na lidi, jejichž údaje byly v první řadě zneužity. Řidiči, kterým byly účty automaticky pozastaveny bez jasného vysvětlení nebo možnosti odvolání, utrpěli skutečnou finanční újmu, a žádná pokuta zaplacená regulátorovi jim to přímo nekompenzuje.

Tento případ připomíná, že GDPR existuje, protože společnosti, i ty velké a dobře vybavené, nemají vždy správné nakládání s daty samy od sebe. Automatizované systémy mohou činit závažná rozhodnutí o živobytí lidí s malou transparentností, pokud do toho nezasáhnou regulátoři. Pokud si společnost tak prominentní jako Uber může nasbírat stovky milionů v pokutách za tyto praktiky, je to signál, že uživatelé by neměli předpokládat, že jakákoli platforma automaticky respektuje jejich práva na ochranu údajů jen proto, že působí v EU.

Kroky, které mohou uživatelé podniknout k omezení rizika

Zatímco regulátoři se zabývají vymáháním práva, jednotlivci mají stále praktické kroky, které mohou podniknout. Zkontrolujte nastavení soukromí a oprávnění k údajům u aplikací, které pravidelně používáte, včetně platforem pro spolujízdu a gig ekonomiku, a pokud je to možné, omezte sdílení údajů. Pokud se domníváte, že se vás automatizované rozhodnutí dotklo nespravedlivě, GDPR vám dává právo požádat o lidský přezkum a požádat společnost o vysvětlení logiky tohoto rozhodnutí. Můžete také podat stížnost přímo u svého národního úřadu pro ochranu osobních údajů, pokud společnost nereaguje.

Udržování minimálního množství osobních údajů, kdekoli to jde, používání silného zabezpečení účtu a informovanost o tom, jak platformy nakládají s přeshraničními převody údajů, to vše snižuje vaše riziko vystavení problémům, které vedly k pokutám pro Uber.

Širší souvislosti

Pokuta 825 milionů eur pro Uber za údaje řidičů podtrhuje obecnější pravdu o vymáhání pokut podle GDPR: ochrana soukromí funguje pouze tehdy, když regulátoři aktivně drží společnosti odpovědné, a uživatelé těží z toho, že těmto ochranným opatřením sami rozumí, spíše než aby předpokládali, že firemní dobrá vůle mezeru vyplní. Jak stále více automatizovaných systémů utváří každodenní rozhodnutí, od pozastavení účtů po způsobilost ke službám, být informován o svých právech podle GDPR je jedním z nejúčinnějších nástrojů, které máte. Věnujte čas tomu, abyste si prošli, jak platformy, na které se spoléháte, nakládají s vašimi údaji, a neváhejte uplatnit své právo zpochybnit automatizovaná rozhodnutí, která se vás přímo týkají.