Hollandske DPA pålægger Uber en bøde på 825 mio. euro for GDPR-overtrædelse af chauffører

Hollansk tilsynsmyndighed rammer Uber med rekordstor bøde

Den 21. august 2026 annoncerede den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens), at den pålagde Uber Technologies Inc. en bøde på 825 mio. euro, cirka 966 mio. dollars, for overtrædelse af Europas generelle databeskyttelsesforordning. Uber GDPR-bøden centrerer sig om virksomhedens brug af automatiserede systemer til at suspendere og deaktivere chaufførkonti uden at give disse chauffører behørig besked eller en meningsfuld mulighed for at bestride afgørelsen.

Bøden er blandt de største GDPR-håndhævelsessager, der nogensinde er udstedt, og føjer sig til en voksende liste af bøder, som Uber har fået fra samme tilsynsmyndighed. I 2024 pålagde den hollandske DPA Uber en bøde på 290 mio. euro for uretmæssige dataoverførsler til USA, da man fandt, at virksomheden ikke havde opfyldt GDPR's strenge krav til flytning af personoplysninger uden for Det Europæiske Økonomiske Samarbejdsområde. Denne seneste, langt større bøde tyder på, at hollandske tilsynsmyndigheder ser et mønster snarere end en isoleret compliance-mangel.

Hvorfor automatiseret beslutningstagning er under lup

GDPR giver enkeltpersoner specifikke beskyttelser, når virksomheder bruger automatiserede systemer til at træffe beslutninger, der væsentligt påvirker dem, herunder retten til at modtage en forklaring og retten til at anmode om menneskelig gennemgang. At deaktivere en chaufførs konto, afskære deres indkomst, uden transparent besked eller en appelproces er præcis den slags automatiserede beslutning, som forordningen var designet til at begrænse.

For en virksomhed som Uber, hvis forretningsmodel i høj grad afhænger af algoritmisk styring af sin chaufførstab, skaber dette en strukturel spænding. Automatiserede systemer er effektive til at flagge svindel, sikkerhedsovertrædelser eller politikbrud i stor skala, men GDPR kræver, at denne effektivitet ikke sker på bekostning af en persons ret til at forstå og udfordre beslutninger truffet om dem. Når tilsynsmyndigheder finder, at besked- og appelmekanismer var utilstrækkelige eller ikke-eksisterende, kan de resulterende bøder være alvorlige, netop fordi overtrædelsen berører en kerneprotection snarere end en teknisk papirfejl.

Del af et bredere mønster af dataansvar

Denne bøde eksisterer ikke i isolation. Tilsynsmyndigheder og domstole på tværs af sektorer er i stigende grad villige til at pålægge betydelige bøder, når virksomheder undlader at beskytte, hvordan personoplysninger indsamles, behandles eller bruges til at træffe konsekvensfulde beslutninger. I uddannelsessektoren viste for eksempel PowerSchool-forliget på 17,25 mio. dollars om Naviance-studentersporing, hvordan stille indsamlede data, i det tilfælde studenteraktivitet, kan udløse stor juridisk eksponering, når de kommer for dagen. Dataansvarssvigt er heller ikke begrænset til forsætlig misbrug; hændelser som Iliad Italia-kundedata udbudt til salg på det mørke internet viser, hvordan personoplysninger kan ende med at blive eksponeret gennem brud snarere end virksomhedspolitik, men stadig efterlade virksomheder med regulatoriske og omdømmemæssige konsekvenser.

Taget tilsammen peger disse sager på et konsekvent tema: organisationer, der behandler personoplysninger eller automatiserede beslutninger bygget på disse data som et lavprioriteret compliance-anliggende, finder i stigende grad sig selv på den forkerte side af bøder i otte- og niffecifrede beløb.

Hvad dette betyder for dig

Hvis du kører for Uber eller en lignende platform, er denne sag en påmindelse om, at du har rettigheder under GDPR (hvis du er i EU) vedrørende beslutninger truffet om din konto af automatiserede systemer. Du har generelt ret til at vide, hvorfor en automatiseret beslutning blev truffet, og til at anmode om, at et menneske gennemgår den, ikke kun en algoritme.

For almindelige brugere af ride-hailing-apps og andre platforme, der i høj grad er afhængige af datadrevet kontostyring, understreger denne bøde også, hvor meget af dit forhold til disse virksomheder kører gennem automatiserede systemer, du aldrig ser direkte. Det er værd jævnligt at gennemgå, hvilke tilladelser og dataadgang du har givet til app-baserede tjenester, og at forstå, at en stor bøde som denne er et tegn på, at tilsynsmyndigheder aktivt overvåger, hvordan disse systemer bruges, ikke et bevis på, at de underliggende praksisser allerede er ændret.

Handlingsorienterede pointer

• Hvis du er en gig-økonomiarbejder i EU, så vid, at GDPR giver dig ret til en forklaring og menneskelig gennemgang, når et automatiseret system træffer en væsentlig beslutning om din konto eller indkomst.
• Gem optegnelser over enhver kontosuspendering, deaktiveringsbesked eller appelkorrespondance, du modtager fra en platform; denne dokumentation betyder noget, hvis du nogensinde skal bestride en beslutning.
• Gennemgå privatlivsindstillingerne og datatilladelserne, du har givet til gig-, leverings- eller ride-hailing-apps, og tilbagekald adgang, du ikke længere har brug for.
• Hold øje med regulatoriske opdateringer i denne sag, da GDPR-bøder af denne størrelse ofte udløser appeller og kan tage år at blive fuldt afklaret, hvilket kan påvirke, hvordan platforme opererer fremover.

Uber GDPR-bøden er en betydelig markør i Europas fortsatte indsats for at holde store tech-platforme ansvarlige for, hvordan automatiserede systemer påvirker virkelige menneskers levebrød. Om det ændrer Ubers praksis med det samme, vil tiden vise, men det lægger reel økonomisk vægt bag argumentet om, at databeskyttelsesrettigheder gælder lige så meget for algoritmiske beslutninger som for traditionel datahåndtering.