- augusztus 21-én a holland Adatvédelmi Hatóság (a holland DPA) bejelentette, hogy 824 990 000 euró bírságot szabott ki az Uberre az EU Általános Adatvédelmi Rendeletének a sofőrökkel kapcsolatos, kizárólag automatizált döntésekre vonatkozó tilalmának megsértése miatt. Az Uber GDPR automatizált döntések bírsága figyelemre méltó pillanat mindazok számára, akiknek személyes adatai olyan rendszereket táplálnak, amelyek emberi közreműködés nélkül hoznak jelentős következményekkel járó döntéseket róluk.
Ez a bejegyzés elmagyarázza, mit jelentett be a hatóság, mit jelent köznyelven a „kizárólag automatizált döntés", kit érinthet még ez, és hol van helye a VPN-nek (és hol nem).
Miért bírságolta meg az Ubertt a holland DPA
A bejelentés szerint a holland DPA azért büntette meg az Ubert, mert megsértette a GDPR-nak a kizárólag automatizált döntésekre vonatkozó korlátozását a sofőrökkel kapcsolatban. A bírság összege 824 990 000 euró. Az ügyről szóló tudósítások szerint a vita középpontjában a sofőrök fiókjainak felfüggesztésére vagy deaktiválására használt automatizált rendszerek állnak, és a jelentések arra utalnak, hogy ez a büntetés a GDPR alapján valaha kiszabott egyik legnagyobb bírság.
A tudósítások szerint az Uber vitatta a megállapításokat, azt állítva, hogy deaktiválási folyamatai megfelelnek a törvénynek. A vállalat álláspontja és az esetleges fellebbezés figyelmet érdemel, mivel a döntés részletei további vizsgálat tárgyát képezhetik. A döntés teljesebb ismertetéséért lásd a meglévő vpn.social jelentést: Dutch DPA Fines Uber €825M Over Driver GDPR Breach.
Mit jelent köznyelven a „kizárólag automatizált döntés"
A GDPR (a 22. cikkben) biztosítja az emberek számára azt a jogot, hogy ne legyenek kitéve olyan döntésnek, amely kizárólag automatizált feldolgozáson alapul, amennyiben annak jogi vagy hasonlóan jelentős hatása van rájuk. Egyszerűbben fogalmazva: ha egy szoftver olyan döntést hoz, amely súlyosan érinti az életedet vagy a megélhetésedet, és azt egyetlen ember sem vizsgálja érdemben felül, az az uniós jog szerint probléma, kivéve, ha meghatározott feltételek teljesülnek.
Három gondolat segít ezt konkretizálni:
- Kizárólag automatizált: Nincs valódi emberi közreműködés. Az a személy, aki csupán jóváhagyja egy algoritmus kimenetét anélkül, hogy képes vagy jogosult lenne azt megváltoztatni, nem feltétlenül számít érdemi felügyeletnek.
- Jelentős hatás: A következmény számít. Annak elvesztése, hogy hozzáférj egy fiókhoz, amely a megélhetésedet biztosítja, világos példa arra, milyen hatás érdekli a hatóságokat.
- Garanciák: Ahol az automatizált döntések megengedettek, ott az embereknek általában lehetőséget kell kapniuk emberi beavatkozásra, véleményük kifejezésére és az eredmény megtámadására.
Az eset azt mutatja, hogy a hatóságok hajlandók érvényt szerezni ezeknek a korlátoknak egy nagy platformmal szemben is, és nagyon súlyos büntetést kiszabni értük.
Kit érint az Uber sofőrjein túl
A döntés az Uber sofőrjeire vonatkozik, de az elv ennél sokkal messzebbre terjed. Az automatizált rendszerek már most is befolyásolják a döntéseket például a következőkről:
- Gigszerű és platformmunkavállalók, beleértve a fiókfelfüggesztéseket és a fizetést.
- Automatizált eszközökkel szűrt álláskeresők.
- Ügyfelek, akiket automatizált csalásjelzések, fióklezárások vagy hitellel kapcsolatos következmények érintenek.
- Bármely szolgáltatás felhasználói, ahol egy algoritmus korlátozhatja a fiókhoz való hozzáférést.
A forrásanyag nem mondja meg, hogyan fogják alkalmazni a döntést más vállalatokra, így hiba lenne túlbecsülni annak hatókörét. Mégis, minden olyan szervezetnek, amely az EU-ban automatizált döntéshozatalra támaszkodik, most nyomós oka van felülvizsgálni, hogy létezik-e valódi emberi felügyelet, és hogy az érintettek megtámadhatják-e az eredményeket.
Mit tesz és mit nem tesz egy VPN az algoritmikus profilalkotás ellen
A VPN titkosítja a forgalmat az eszközöd és a VPN-szerver között, és elrejti az IP-címedet az általad meglátogatott oldalak elől. Ez hasznos a nyilvános hálózatokon való adatvédelemhez és bizonyos helyalapú követés korlátozásához.
Ez azonban nem állítja meg annak a szolgáltatásnak az algoritmikus profilalkotását, amelybe be vagy jelentkezve. Ha egy platformnak dolgozol, fiókkal vásárolsz, vagy egy portálon keresztül jelentkezel állásra, a vállalat már birtokolja az általad megadott adatokat és a tevékenységedből származó adatokat. Az, hogy a kapcsolatod VPN-en keresztül fut-e, nem befolyásolja azt az automatizált rendszert, amely ezeket az adatokat rólad szóló döntések meghozatalára használja.
Röviden: a VPN a hálózati adatvédelem eszköze. A nem átlátható automatizált döntések elleni védelem a jogi jogokból és a hatóságokból ered, és pontosan ezt szemlélteti ez az eset.
Mit jelent ez számodra
Ha az EU-ban élsz, vagy EU-szabályozás alá tartozó vállalatokkal van dolgod, a GDPR szerinti jogaid gyakorlati eszközt jelentenek:
- Tegyél fel kérdéseket. Kérhetsz tájékoztatást arról, milyen személyes adatokat tárol rólad egy vállalat, és hogyan használja azokat döntésekben.
- Kérj emberi felülvizsgálatot. Ha egy automatizált döntés jelentősen érint téged, kérdezd meg, hogy egy személy felülvizsgálta-e, és ha nem, kérj ilyet.
- Őrizz meg feljegyzéseket. Mentsd el az értesítéseket, e-maileket és a felfüggesztésekről vagy elutasításokról készült képernyőképeket.
- Tudd, hol lehet panaszt tenni. Az adatvédelmi hatóságok elfogadják a panaszokat, és így indulhatnak el az ehhez hasonló ügyek.
Az EU-n kívül mások a védelem szabályai, de az eset megmutatja, milyen irányba haladnak a hatóságok.
Kulcsfontosságú tanulságok
Az Uber GDPR automatizált döntések bírsága megmutatja, hogy az algoritmikus döntéshozatal korlátait nemcsak leírják, hanem be is tartatják. Értsd meg a jogaidat az automatizált döntésekkel kapcsolatban, élj velük, amikor egy rendszer a megélhetésedet vagy a szolgáltatásokhoz való hozzáférésedet érinti, és tekints a VPN-re a hálózati adatvédelem egy rétegeként, nem pedig a profilalkotás megoldásaként. A döntés teljes részleteiért olvasd el meglévő jelentésünket a holland DPA Uber-bírságáról.
FAQ: Q1: Mennyi bírságot szabott ki a holland DPA az Uberre? A1: A holland DPA 824 990 000 euró bírságot szabott ki az Uberre azért, mert megsértette a GDPR-nak a sofőrökkel kapcsolatos, kizárólag automatizált döntésekre vonatkozó tilalmát. Q2: Melyik GDPR-szabályt sértette meg állítólag az Uber? A2: Az Ubert azért büntették meg, mert megsértette a GDPR-nak a sofőrökkel kapcsolatos, kizárólag automatizált döntésekre vonatkozó korlátozását, amelynek középpontjában a sofőrök fiókjainak felfüggesztésére vagy deaktiválására használt automatizált rendszerek álltak. Q3: Reagált az Uber a bírságra? A3: Igen, az Uber vitatta a megállapításokat, azt állítva, hogy deaktiválási folyamatai megfelelnek a törvénynek. Q4: Mit jelent a „kizárólag automatizált döntés" a GDPR szerint? A4: A 22. cikk szerint az embereknek joguk van ahhoz, hogy ne legyenek kitéve olyan döntésnek, amely kizárólag automatizált feldolgozáson alapul, amennyiben annak jogi vagy hasonlóan jelentős hatása van rájuk. Q5: Kit érinthet még ez a döntés az Uber sofőrjein túl? A5: Az elv kiterjed a gig- és platformmunkavállalókra, az automatizált eszközökkel szűrt álláskeresőkre, valamint azokra az ügyfelekre, akiket automatizált csalásjelzések, fióklezárások vagy hitellel kapcsolatos következmények érintenek. ---END---
