Mitä Uber teki väärin GDPR:n mukaan
Alankomaiden tietosuojaviranomainen (Autoriteit Persoonsgegevens) on määrännyt Uberille 825 miljoonan euron sakon, joka on noin 966 miljoonaa dollaria, mikä tekee siitä yhden suurimmista seuraamuksista, jotka on koskaan annettu yleisen tietosuoja-asetuksen nojalla. Sakko liittyy Uberin käyttämiin automatisoituihin järjestelmiin kuljettajatilien keskeyttämiseksi tai poistamiseksi käytöstä. GDPR:n mukaan yksilöillä on oikeus ymmärtää, miten heihin vaikuttavia automatisoituja päätöksiä tehdään, ja riitauttaa nämä päätökset ihmisen suorittamassa tarkastelussa. Valvojat havaitsivat, että Uberin prosessi kuljettajien tilien katkaisemiseksi, joskus merkittävin taloudellisin seurauksin, ei antanut asianomaisille kuljettajille riittävää avoimuutta tai merkityksellistä tapaa riitauttaa lopputulos.
Tämä ei ole Uberin ensimmäinen yhteenotto Alankomaiden valvojien kanssa. Vuonna 2024 sama viranomainen sakotti Uberia 290 miljoonalla eurolla siitä, että se siirsi EU-pohjaisten kuljettajien henkilötietoja Yhdysvaltojen palvelimille ilman asianmukaisia suojatoimia. Kyseinen tapaus liittyi vakiolausekkeisiin (Standard Contractual Clauses), jotka ovat oikeudellinen mekanismi, jota yritykset käyttävät perustellakseen eurooppalaisten tietojen siirtämistä ulkomaille. Uber lopetti raportoidusti näiden lausekkeiden käytön elokuun 2021 jälkeen, jättäen kuljettajatiedot riittämättömästi suojatuiksi kansainvälisten siirtojen aikana. Yhdessä nämä kaksi seuraamusta antavat kuvan yrityksestä, joka on toistuvasti kamppaillut sovittaakseen sisäiset tietokäytäntönsä GDPR:n ydinfvaatimuksiin, jotka liittyvät avoimuuteen, suostumukseen ja rajat ylittäviin siirtoihin.
Miten GDPR:n täytäntöönpano todella toimii
GDPR:ää valvovat kunkin EU-jäsenvaltion kansalliset tietosuojaviranomaiset, ei yksittäinen keskitetty eurooppalainen valvoja. Koska Uberin Euroopan-toiminnot ovat pääkonttoroineet Alankomaihin, Alankomaiden viranomainen johti tätä tapausta, samoin kuin Irlannin tietosuojakomissio käsitteli erillistä 1,2 miljardin euron sakkoa Metaa vastaan vuonna 2023 tietojen siirtoihin liittyvistä tietosuojarikkomuksista, joka on sakko, jonka Meta on valittanut.
Tämä rakenne tarkoittaa, että viranomainen, joka valvoo yritystä, riippuu siitä, missä yrityksen tärkein EU-toimipaikka sijaitsee, ja täytäntöönpanotoimenpiteet voivat kestää vuosia. Valvojat tutkivat valituksia, pyytävät asiakirjoja ja määräävät sakkoja, joita yritykset usein valittavat, mikä pidentää prosessia edelleen. Lukijoille, jotka yrittävät ymmärtää, miten nämä tutkimukset etenevät ja mitä valtuuksia valvojilla todella on, CNIL-selitys tarjoaa hyödyllisen katsauksen siihen, miten yksi Euroopan aktiivisimmista tietosuojaviranomaisista toimii, koska samat perustavanlaatuiset täytäntöönpanoperiaatteet pätevät kaikissa EU:n jäsenvaltioissa, myös Alankomaissa.
Mitä tämä tarkoittaa henkilötiedoillesi
Uberin sakon suuruus, joka on nyt yhteensä yli 1,1 miljardia euroa kahden täytäntöönpanotoimenpiteen välillä, heijastaa sitä, kuinka vakavasti EU:n valvojat suhtautuvat automatisoitujen päätösten ja tietojen siirtojen rikkomuksiin. Mutta sakon suuruus ei poista vaikutusta niihin ihmisiin, joiden tietoja käsiteltiin väärin alun perin. Kuljettajat, joiden tilit keskeytettiin automaattisesti ilman selkeää selitystä tai muutoksenhakumahdollisuutta, kokivat todellista taloudellista haittaa, eikä mikään valvojalle maksettava sakko korvaa heitä suoraan.
Tämä tapaus on muistutus siitä, että GDPR on olemassa, koska yritykset, jopa suuret ja hyvin resursoidut, eivät aina hoida tietojen käsittelyä oikein itsekseen. Automatisoidut järjestelmät voivat tehdä merkittäviä päätöksiä ihmisten toimeentulosta vähäisellä avoimuudella, elleivät valvojat puutu asiaan. Jos näin näkyvä yritys kuin Uber voi kerätä satojen miljoonien sakkoja näistä käytännöistä, se on signaali siitä, että käyttäjien ei tulisi olettaa minkään alustan automaattisesti kunnioittavan heidän tieto-oikeuksiaan vain siksi, että se toimii EU:ssa.
Toimenpiteet, joita käyttäjät voivat tehdä rajoittaakseen altistumistaan
Vaikka valvojat hoitavat täytäntöönpanon, yksilöillä on silti käytännön toimia, joita he voivat tehdä. Tarkista säännöllisesti käyttämiesi sovellusten, mukaan lukien kyytipalvelu- ja keikkatalousalustat, tietosuoja-asetukset ja tietoluvat, ja rajoita jakamiasi tietoja mahdollisuuksien mukaan. Jos uskot, että automatisoitu päätös on vaikuttanut sinuun epäoikeudenmukaisesti, GDPR antaa sinulle oikeuden pyytää ihmisen suorittamaa tarkastelua ja pyytää yritystä selittämään päätöksen taustalla olevan logiikan. Voit myös tehdä valituksen suoraan kansalliselle tietosuojaviranomaisellesi, jos yritys ei vastaa.
Henkilötietojen pitäminen mahdollisimman vähäisinä aina kun voit, vahvan tilin suojauksen käyttäminen ja sen seuraaminen, miten alustat käsittelevät rajat ylittäviä tietojen siirtoja, vähentävät altistumistasi sellaisille ongelmille, jotka johtivat Uberin sakkoihin.
Isompi kuva
Uberin 825 miljoonan euron sakko kuljettajatiedoista korostaa laajempaa totuutta GDPR-sakkojen täytäntöönpanosta: tietosuojatoimet toimivat vain, kun valvojat aktiivisesti pitävät yritykset vastuullisina, ja käyttäjät hyötyvät näiden suojatoimien ymmärtämisestä itse, sen sijaan että olettaisivat yritysten hyvän tahdon täyttävän aukon. Kun yhä useammat automatisoidut järjestelmät muokkaavat jokapäiväisiä päätöksiä, tilien keskeytyksistä palvelukelpoisuuteen, oikeuksiesi tunteminen GDPR:n mukaan on yksi tehokkaimmista työkaluista, joita sinulla on. Käytä aikaa tarkistaaksesi, miten luottamasi alustat käsittelevät tietojasi, ja älä epäröi käyttää oikeuttasi kyseenalaistaa automatisoituja päätöksiä, jotka vaikuttavat sinuun suoraan.
