Što je Uber učinio krivo prema GDPR-u
Nizozemsko tijelo za zaštitu podataka (Autoriteit Persoonsgegevens) kaznilo je Uber s 825 milijuna eura, otprilike 966 milijuna dolara, što ga čini jednom od najvećih kazni ikada izrečenih prema Općoj uredbi o zaštiti podataka. Kazna se odnosi na Uberovu upotrebu automatiziranih sustava za suspenziju ili deaktivaciju računa vozača. Prema GDPR-u, pojedinci imaju pravo razumjeti kako se donose automatizirane odluke koje utječu na njih te osporiti te odluke uz ljudski pregled. Regulatori su utvrdili da Uberov proces isključivanja vozača, ponekad sa značajnim financijskim posljedicama, nije pružio pogođenim vozačima dovoljnu transparentnost niti smislen način za osporavanje ishoda.
Ovo nije prvi sukob Ubera s nizozemskim regulatorima. Godine 2024. isto je tijelo kaznilo Uber s 290 milijuna eura zbog prijenosa osobnih podataka vozača iz EU-a na poslužitelje u Sjedinjenim Državama bez odgovarajućih zaštitnih mjera. Taj se slučaj odnosio na standardne ugovorne klauzule, pravni mehanizam koji tvrtke koriste za opravdanje prijenosa europskih podataka u inozemstvo. Uber je navodno prestao koristiti te klauzule nakon kolovoza 2021., ostavljajući podatke vozača nedovoljno zaštićenima tijekom međunarodnih prijenosa. Zajedno, te dvije kazne oslikavaju sliku tvrtke koja se više puta borila uskladiti svoje interne prakse s podacima s temeljnim zahtjevima GDPR-a u pogledu transparentnosti, pristanka i prekograničnih prijenosa.
Kako provedba GDPR-a zapravo funkcionira
GDPR provode nacionalna tijela za zaštitu podataka u svakoj državi članici EU-a, a ne jedinstveni centralizirani europski regulator. Budući da je sjedište Uberovih europskih operacija u Nizozemskoj, nizozemsko je tijelo preuzelo vodstvo u ovom slučaju, slično kao što je Irska komisija za zaštitu podataka riješila odvojenih 1,2 milijarde eura kazne protiv Mete 2023. godine zbog kršenja privatnosti povezanih s prijenosom podataka, kazne koju je Meta uložila žalbu.
Ova struktura znači da tijelo koje nadzire tvrtku ovisi o tome gdje se nalazi glavno sjedište te tvrtke u EU-u, a provedbene radnje mogu potrajati godinama. Regulatori istražuju pritužbe, zahtijevaju dokumentaciju i izriču kazne na koje se tvrtke često žale, dodatno produžujući postupak. Čitateljima koji pokušavaju razumjeti kako se te istrage odvijaju i koje ovlasti regulatori zapravo imaju, CNIL objašnjenje nudi koristan uvid u to kako djeluje jedno od najaktivnijih europskih tijela za zaštitu podataka, budući da se isti temeljni principi provedbe primjenjuju u svim državama članicama EU-a, uključujući Nizozemsku.
Što to znači za vaše osobne podatke
Razmjer Uberove kazne, koja sada ukupno iznosi preko 1,1 milijarde eura kroz dvije provedbene mjere, odražava koliko ozbiljno europski regulatori tretiraju automatizirano donošenje odluka i kršenja prijenosa podataka. No veličina kazne ne poništava učinak na ljude čiji su podaci prvo bili pogrešno obrađeni. Vozači čiji su računi automatski suspendirani bez jasnog objašnjenja ili mogućnosti žalbe pretrpjeli su stvarnu financijsku štetu, a nikakva kazna plaćena regulatoru ne nadoknađuje im to izravno.
Ovaj slučaj podsjeća da GDPR postoji jer tvrtke, čak i velike i dobro opremljene, ne uspijevaju uvijek same ispravno postupati s podacima. Automatizirani sustavi mogu donositi važne odluke o ljudskoj egzistenciji uz malo transparentnosti ako regulatori ne interveniraju. Ako tvrtka poput Ubera može skupiti stotine milijuna kazni za te prakse, to je signal da korisnici ne bi trebali pretpostavljati da bilo koja platforma automatski poštuje njihova prava na podatke samo zato što djeluje u EU-u.
Koraci koje korisnici mogu poduzeti za smanjenje izloženosti
Dok se regulatori bave provedbom, pojedinci i dalje imaju praktične korake koje mogu poduzeti. Pregledajte postavke privatnosti i dopuštenja za podatke na aplikacijama koje redovito koristite, uključujući platforme za dijeljenje prijevoza i gig platforme, te ograničite podatke koje dijelite kad god je to moguće. Ako smatrate da je automatizirana odluka na vas utjecala nepravedno, GDPR vam daje pravo zatražiti ljudski pregled i tražiti od tvrtke da objasni logiku iza te odluke. Također možete podnijeti pritužbu izravno svom nacionalnom tijelu za zaštitu podataka ako tvrtka ne odgovara.
Održavanje minimalnih osobnih podataka gdje god možete, korištenje snažne sigurnosti računa i informiranje o tome kako platforme upravljaju prekograničnim prijenosom podataka sve smanjuje vašu izloženost vrstama problema koji su doveli do Uberovih kazni.
Šira slika
Uberova kazna od 825 milijuna eura zbog podataka vozača naglašava širu istinu o provedbi GDPR kazni: zaštita privatnosti funkcionira samo kada regulatori aktivno drže tvrtke odgovornima, a korisnici imaju koristi od razumijevanja tih zaštita sami, umjesto da pretpostavljaju da će korporativna dobra volja popuniti prazninu. Kako sve više automatiziranih sustava oblikuje svakodnevne odluke, od suspenzije računa do podobnosti za usluge, informiranje o vašim pravima prema GDPR-u jedan je od najučinkovitijih alata koje imate. Odvojite vrijeme da pregledate kako platforme na koje se oslanjate postupaju s vašim podacima i ne ustručavajte se iskoristiti svoje pravo da dovedete u pitanje automatizirane odluke koje izravno utječu na vas.
