オランダ規制当局、ウーバーに過去最高額の制裁金

2026年8月21日、オランダのデータ保護機関（Autoriteit Persoonsgegevens）は、Uber Technologies Inc.に対し、欧州の一般データ保護規則（GDPR）違反を理由に、約9億6600万ドルに相当する8億2500万ユーロの制裁金を科すことを発表しました。このウーバーへのGDPR制裁金は、同社が自動化システムを用いて運転手のアカウントを停止・無効化するにあたり、適切な通知を行わず、決定に異議を申し立てる実質的な手段も与えなかったことに焦点を当てたものです。

この制裁金は、これまでに発令されたGDPR執行措置の中でも最大級のものに数えられ、同規制当局がウーバーに対して科してきた制裁金のリストにさらに追加されることになります。2024年には、オランダのデータ保護機関は、米国への不適切なデータ移転を理由にウーバーへ2億9000万ユーロの制裁金を科しており、欧州経済領域外への個人データ移転に関するGDPRの厳格な要件を満たしていなかったと判断していました。今回の、はるかに高額な制裁金は、オランダの規制当局が、これは単発のコンプライアンス上の欠陥ではなく、パターンであると見なしていることを示唆しています。

自動化された意思決定がなぜ厳しく監視されるのか

GDPRは、企業が個人に重大な影響を与える意思決定を自動化システムで行う場合、個人に特定の保護を与えており、説明を受ける権利や、人による審査を求める権利が含まれます。運転手のアカウントを無効化して収入を断つことは、透明性のある通知や異議申し立てのプロセスなしに行われた場合、まさにこの規則が規制しようと設計された種類の自動化された決定に該当します。

ウーバーのような、運転手の労働力のアルゴリズム管理にビジネスモデルを大きく依存している企業にとって、これは構造的な緊張を生み出します。自動化システムは、不正の検知、安全違反、ポリシー違反を大規模にフラグ付けするのに効率的ですが、GDPRは、その効率性が、自分に関する決定を理解し異議を申し立てる個人の権利を犠牲にしてはならないことを要求しています。規制当局が、通知や異議申し立ての仕組みが不十分または存在しなかったと判断した場合、その違反は技術的な書類上の失敗ではなく、中核的な保護に関わるものであるがゆえに、結果として科される制裁金は深刻なものになり得ます。

データ説明責任のより広範なパターンの一部

この制裁金は単独で存在しているわけではありません。さまざまなセクターの規制当局や裁判所は、企業が個人データの収集・処理方法や、それを用いた重大的な決定への利用方法を保護できなかった場合、大幅な制裁金を課す意向をますます強めています。例えば、教育分野では、PowerSchoolによるNaviance学生追跡に関する1725万ドルの和解は、この場合学生の活動データですが、静かに収集されたデータが、ひとたび明るみに出れば、大きな法的リスクを引き起こし得ることを示しました。データ保護の失敗は意図的な悪用に限りません。ダークウェブで販売されたIliad Italiaの顧客データのような事件は、企業ポリシーではなく侵害を通じて個人データが流出し得ることを示していますが、それでも企業は規制上および風評上の影響に直面することになります。

これらを総合すると、一貫したテーマが見えてきます。個人データ、またはそのデータに基づいて構築された自動化された決定を、優先度の低いコンプライアンス問題として扱う組織は、ますます億単位の制裁金を課される立場に立たされているのです。

これがあなたにとって意味すること

もしあなたがウーバーや類似のプラットフォームで運転手をしているなら、この事件は、(EU圏内にいる場合)自動化システムによって自分のアカウントに関して下された決定について、GDPRに基づく権利があることを思い出させてくれます。あなたは一般的に、自動化された決定がなぜ下されたのかを知り、アルゴリズムだけでなく人間による審査を求める権利があります。

配車アプリやデータ駆動型のアカウント管理に大きく依存する他のプラットフォームを日常的に利用する人にとっても、今回の制裁金は、これらの企業との関係の多くが、直接見ることのない自動化システムを通じて行われていることを浮き彫りにしています。アプリベースのサービスに付与した権限やデータアクセスを定期的に見直し、このような巨額の制裁金は、規制当局がこれらのシステムの利用方法を積極的に監視している証拠であり、根本的な慣行がすでに変わった証拠ではないことを理解する価値があります。

実践的なポイント

  • EU圏内のギグワーカーであれば、自動化システムがアカウントや収入に関して重大な決定を下した場合、GDPRは説明と人間による審査を受ける権利を与えていることを知っておきましょう。
  • プラットフォームから受け取ったアカウント停止、無効化通知、異議申し立てのやり取りの記録はすべて保管しておきましょう。これらの文書は、決定に異議を申し立てる必要が生じた場合に重要です。
  • ギグ、配達、配車アプリに付与したプライバシー設定とデータ権限を見直し、不要になったアクセス権は取り消しましょう。
  • この事件に関する規制の最新情報に注意しましょう。この規模のGDPR制裁金は控訴を引き起こすことが多く、完全に解決するまでに数年かかる可能性があり、それがプラットフォームの今後の運営方法に影響を与えるかもしれません。

ウーバーへのGDPR制裁金は、自動化システムが実際の人々の生計にどのような影響を与えるかについて、大手テックプラットフォームに責任を負わせるというヨーロッパの継続的な取り組みにおける重要な指標です。それが直ちにウーバーの慣行を変えるかどうかはまだわかりませんが、データ保護の権利が従来のデータ取り扱いと同様にアルゴリズムによる決定にも適用されるという主張に、実質的な財務的な重みを加えるものです。