Il regolatore olandese colpisce Uber con una sanzione da record

Il 21 agosto 2026, l'Autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens) ha annunciato di aver multato Uber Technologies Inc. per 825 milioni di euro, pari a circa 966 milioni di dollari, per aver violato il Regolamento generale sulla protezione dei dati europeo. La multa GDPR a Uber riguarda l'uso da parte dell'azienda di sistemi automatizzati per sospendere e disattivare gli account dei conducenti senza fornire a questi ultimi un avviso adeguato o una via concreta per contestare la decisione.

La sanzione è tra le più elevate mai emesse nell'ambito dell'applicazione del GDPR e si aggiunge a un elenco crescente di multe che Uber ha dovuto affrontare da parte dello stesso regolatore. Nel 2024, l'AP olandese ha multato Uber per 290 milioni di euro per trasferimenti impropri di dati verso gli Stati Uniti, rilevando che l'azienda non aveva rispettato i severi requisiti del GDPR per il trasferimento di dati personali al di fuori dello Spazio economico europeo. Questa ultima multa, molto più elevata, suggerisce che i regolatori olandesi vedono un modello ricorrente piuttosto che una lacuna di conformità isolata.

Perché il processo decisionale automatizzato è sotto esame

Il GDPR offre agli individui protezioni specifiche quando le aziende utilizzano sistemi automatizzati per prendere decisioni che li riguardano in modo significativo, incluso il diritto a ricevere una spiegazione e il diritto di richiedere una revisione umana. Disattivare l'account di un conducente, tagliandogli il reddito, senza un avviso trasparente o una procedura di ricorso è esattamente il tipo di decisione automatizzata che il regolamento mirava a limitare.

Per un'azienda come Uber, il cui modello di business dipende fortemente dalla gestione algoritmica della propria forza lavoro di conducenti, questo crea una tensione strutturale. I sistemi automatizzati sono efficienti nell'individuare frodi, violazioni della sicurezza o violazioni delle policy su larga scala, ma il GDPR richiede che tale efficienza non avvenga a scapito del diritto di una persona di comprendere e contestare le decisioni che la riguardano. Quando i regolatori rilevano che i meccanismi di avviso e ricorso erano inadeguati o inesistenti, le sanzioni risultanti possono essere severe, proprio perché la violazione tocca una protezione fondamentale piuttosto che un fallimento tecnico-burocratico.

Parte di un modello più ampio di responsabilità sui dati

Questa multa non esiste in isolamento. Regolatori e tribunali in tutti i settori sono sempre più disposti a imporre sanzioni sostanziali quando le aziende non proteggono il modo in cui i dati personali vengono raccolti, trattati o utilizzati per prendere decisioni consequenziali. Nel settore dell'istruzione, ad esempio, la transazione da 17,25 milioni di dollari di PowerSchool sul monitoraggio degli studenti di Naviance ha mostrato come dati raccolti silenziosamente, in quel caso l'attività degli studenti, possano generare una grande esposizione legale una volta venuti alla luce. I fallimenti nella protezione dei dati non si limitano all'uso improprio intenzionale; incidenti come i dati dei clienti Iliad Italia messi in vendita sul dark web dimostrano come i dati personali possano finire esposti attraverso violazioni piuttosto che per policy aziendali, eppure lasciano comunque le aziende ad affrontare conseguenze normative e reputazionali.

Nel loro insieme, questi casi indicano un tema costante: le organizzazioni che trattano i dati personali, o le decisioni automatizzate basate su tali dati, come una questione di conformità a bassa priorità si ritrovano sempre più spesso dalla parte sbagliata di sanzioni a otto e nove cifre.

Cosa significa per te

Se guidi per Uber o per una piattaforma simile, questo caso ti ricorda che hai diritti ai sensi del GDPR (se ti trovi nell'UE) riguardo alle decisioni prese sul tuo account da sistemi automatizzati. In generale, hai diritto a sapere perché è stata presa una decisione automatizzata e a richiedere che una persona la riveda, non solo un algoritmo.

Per gli utenti quotidiani di app di ride-hailing e altre piattaforme che fanno molto affidamento sulla gestione degli account basata sui dati, questa multa sottolinea anche quanto del tuo rapporto con queste aziende passi attraverso sistemi automatizzati che non vedi mai direttamente. Vale la pena rivedere periodicamente quali autorizzazioni e accessi ai dati hai concesso ai servizi basati su app, e comprendere che una multa così elevata è un segno che i regolatori stanno monitorando attivamente come vengono utilizzati questi sistemi, non una prova che le pratiche sottostanti siano già cambiate.

Spunti operativi

  • Se sei un lavoratore dell'economia dei lavori temporanei nell'UE, sappi che il GDPR ti dà il diritto a una spiegazione e a una revisione umana quando un sistema automatizzato prende una decisione significativa sul tuo account o sul tuo reddito.
  • Conserva i registri di qualsiasi sospensione dell'account, avviso di disattivazione o corrispondenza di ricorso ricevuta da una piattaforma; questa documentazione è importante se mai dovessi contestare una decisione.
  • Rivedi le impostazioni sulla privacy e le autorizzazioni sui dati che hai concesso ad app di lavoro temporaneo, consegna o ride-hailing, e revoca gli accessi di cui non hai più bisogno.
  • Segui gli aggiornamenti normativi su questo caso, poiché multe GDPR di queste dimensioni spesso innescano ricorsi e possono richiedere anni per essere completamente risolte, il che potrebbe influenzare il modo in cui le piattaforme opereranno in futuro.

La multa GDPR a Uber è un segnale significativo nello sforzo continuo dell'Europa di ritenere le grandi piattaforme tecnologiche responsabili di come i sistemi automatizzati influiscono sui mezzi di sostentamento delle persone reali. Se cambierà immediatamente le pratiche di Uber resta da vedere, ma aggiunge un peso finanziario reale all'argomentazione secondo cui i diritti alla protezione dei dati si applicano tanto alle decisioni algoritmiche quanto alla gestione tradizionale dei dati.