Mit rontott el az Uber a GDPR alatt

A Holland Adatvédelmi Hatóság (Autoriteit Persoonsgegevens) 825 millió eurós, nagyjából 966 millió dolláros bírságot szabott ki az Uberre, ami az Általános Adatvédelmi Rendelet alapján valaha kiszabott egyik legnagyobb büntetés. A bírság középpontjában az Uber automatizált rendszerei állnak, amelyekkel a sofőrfiókokat felfüggeszti vagy deaktiválja. A GDPR értelmében az egyéneknek joguk van megérteni, hogyan születnek az őket érintő automatizált döntések, és hogy emberi felülvizsgálóval megtámadják azokat. A szabályozó hatóság megállapította, hogy az Uber sofőrök kizárására irányuló eljárása – amely néha jelentős pénzügyi következményekkel járt – nem biztosított megfelelő átláthatóságot az érintett sofőröknek, és nem adott értelmes lehetőséget az eredmény megtámadására.

Ez nem az Uber első összetűzése a holland szabályozókkal. 2024-ben ugyanez a hatóság 290 millió eurós bírságot szabott ki az Ubre azért, mert az EU-ban működő sofőrök személyes adatait megfelelő garanciák nélkül továbbította az Egyesült Államokban található szerverekre. Abban az ügyben a Standard Szerződési Kikötések szerepeltek, amelyek a vállalatok által az európai adatok külföldre történő áthelyezésének igazolására használt jogi mechanizmusok. Az Uber állítólag 2021 augusztusa után leállt ezen kikötések használatával, így a sofőradatok nemzetközi továbbítás során nem részesültek megfelelő védelemben. A két büntetés együtt olyan vállalatot rajzol ki, amely ismételten küszködött azzal, hogy belső adatkezelési gyakorlatait összhangba hozza a GDPR átláthatóságra, hozzájárulásra és határokon átnyúló adattovábbításra vonatkozó alapvető követelményeivel.

Hogyan működik valójában a GDPR-érvényesítés

A GDPR-t az egyes uniós tagállamok nemzeti adatvédelmi hatóságai érvényesítik, nem pedig egyetlen központosított európai szabályozó. Mivel az Uber európai működése Hollandiában van központosítva, a holland hatóság vezette ezt az ügyet, hasonlóan ahhoz, ahogy az ír Adatvédelmi Bizottság kezelte a Meta elleni, különálló, 1,2 milliárd eurós bírságot 2023-ban az adattovábbítással kapcsolatos adatvédelmi jogsértések miatt – ezt a büntetést a Meta megfellebbezte.

Ez a struktúra azt jelenti, hogy az adott vállalatot felügyelő hatóság attól függ, hogy a vállalat fő uniós székhelye hol található, és az érvényesítési eljárások évekig is eltarthatnak. A szabályozók kivizsgálják a panaszokat, dokumentumokat kérnek be, és bírságokat szabnak ki, amelyeket a vállalatok gyakran megfellebbeznek, tovább hosszabbítva ezzel a folyamatot. Azoknak az olvasóknak, akik meg akarják érteni, hogyan zajlanak ezek a vizsgálatok, és milyen hatáskörökkel rendelkeznek valójában a szabályozók, a CNIL-magyarázat hasznos betekintést nyújt abba, hogyan működik Európa egyik legaktívabb adatvédelmi hatósága, mivel ugyanazok az alapvető érvényesítési elvek vonatkoznak az összes uniós tagállamra, beleértve Hollandiát is.

Mit jelent ez az Ön személyes adatai szempontjából

Az Uberre kiszabott bírság mértéke – amely két érvényesítési eljárás után már meghaladja az 1,1 milliárd eurót – azt tükrözi, mennyire komolyan veszik az uniós szabályozók az automatizált döntéshozatalt és az adattovábbítási jogsértéseket. De a bírság nagysága nem teszi semmissé a hatást azokra az emberekre nézve, akiknek az adatait elsőként rosszul kezelték. Azok a sofőrök, akiknek a fiókját automatikusan felfüggesztették egyértelmű magyarázat vagy jogorvoslati lehetőség nélkül, valódi pénzügyi kárt szenvedtek el, és a szabályozónak fizetett büntetés nem kompenzálja őket közvetlenül ezért.

Ez az eset emlékeztet arra, hogy a GDPR azért létezik, mert a vállalatok – még a nagyok és jól finanszírozottak is – nem mindig kezelik megfelelően az adatokat maguktól. Az automatizált rendszerek jelentős döntéseket hozhatnak az emberek megélhetéséről kevés átláthatósággal, hacsak a szabályozók nem lépnek közbe. Ha egy olyan kiemelkedő vállalat, mint az Uber, több száz millió eurós büntetést halmozhat fel ezekért a gyakorlatokért, az jelzés arra, hogy a felhasználóknak nem szabad feltételezniük, hogy bármely platform automatikusan tiszteletben tartja az adatjogaikat pusztán azért, mert az EU-ban működik.

Lépések, amelyeket a felhasználók tehetnek a kitettség csökkentésére

Míg a szabályozók végzik az érvényesítést, az egyéneknek is vannak gyakorlati lépéseik. Tekintse át a rendszeresen használt alkalmazások – beleértve az utazásmegosztó és gig-platformokat is – adatvédelmi beállításait és adatengedélyeit, és amikor csak lehetséges, korlátozza a megosztott adatokat. Ha úgy véli, hogy egy automatizált döntés igazságtalanul érintette Önt, a GDPR alapján joga van emberi felülvizsgálatot kérni, és arra kérni a vállalatot, hogy magyarázza el a döntés mögötti logikát. Azt is megteheti, hogy közvetlenül panaszt nyújt be a nemzeti adatvédelmi hatóságánál, ha a vállalat nem reagál.

A személyes adatok lehetőség szerinti minimalizálása, az erős fiókbiztonság használata és a platformok határokon átnyúló adattovábbítási gyakorlatainak nyomon követése mind csökkenti a kitettségét azokkal a problémákkal szemben, amelyek az Uber bírságaihoz vezettek.

A nagyobb kép

Az Ubernek a sofőradatok miatt kiszabott 825 millió eurós bírsága egy tágabb igazságot hangsúlyoz a GDPR-bírságok érvényesítéséről: az adatvédelmi garanciák csak akkor működnek, ha a szabályozók aktívan számon kérik a vállalatokat, és a felhasználók számára előnyös, ha maguk is értik ezeket a garanciákat, ahelyett hogy feltételeznék, hogy a vállalati jóindulat pótolja a hiányt. Ahogy egyre több automatizált rendszer formálja a mindennapi döntéseket – a fiókfelfüggesztésektől a szolgáltatásokra való jogosultságig –, a GDPR szerinti jogai ismerete az egyik leghatékonyabb eszköz, amellyel rendelkezik. Szánjon időt arra, hogy áttekintse, hogyan kezelik az Ön által használt platformok az adatait, és ne habozzon élni a jogával, hogy megkérdőjelezze az Önt közvetlenül érintő automatizált döntéseket.