ウーバーがGDPRで何を誤ったか

オランダデータ保護当局（Autoriteit Persoonsgegevens）は、ウーバーに対し、約9億6600万ドルに相当する8億2500万ユーロの制裁金を科した。これは、一般データ保護規則（GDPR）に基づいて発行された制裁金としては過去最大級のものとなる。この制裁金は、ウーバーが運転手アカウントを停止または無効化するために自動化システムを使用したことに焦点を当てている。GDPRの下では、個人は自分に影響を与える自動化された決定がどのように行われるかを理解し、その決定に人間の審査員を通じて異議を申し立てる権利を有する。規制当局は、ウーバーが運転手を締め出すプロセス（時に重大な金銭的結果を伴う）において、影響を受けた運転手に十分な透明性を提供しておらず、結果に異議を唱える有意義な方法も与えていなかったことを認めた。

これはウーバーがオランダの規制当局と問題を起こした初めてのケースではない。2024年、同じ当局は、EU拠点の運転手の個人データを適切な保護措置なしに米国のサーバーに転送したとして、ウーバーに2億9000万ユーロの制裁金を科した。このケースでは、企業が欧州のデータを海外に移転する正当性を確保するために使用する法的メカニズムである標準契約条項が関与していた。ウーバーは2021年8月以降、これらの条項の使用を停止したと報告されており、国際転送中に運転手データが十分に保護されないままとなっていた。この2つの制裁金を合わせると、ウーバーが透明性、同意、越境移転に関するGDPRの中核的要件に社内データ慣行を合わせることに繰り返し苦慮してきた企業であるという構図が浮かび上がる。

GDPR執行が実際にどのように機能するか

GDPRは、単一の中央集権的な欧州規制機関ではなく、各EU加盟国の国家データ保護当局によって執行される。ウーバーの欧州事業はオランダに本社を置いているため、オランダ当局がこのケースを主導した。これは、アイルランドのデータ保護委員会が、データ転送に関連するプライバシー違反でメタに対し2023年に別途12億ユーロの制裁金（メタは控訴している）を科したのと類似している。

この構造は、どの当局が会社を監督するかは、その会社のEUにおける主たる設立場所によって決まることを意味し、執行措置は完了するまでに数年かかることがある。規制当局は苦情を調査し、文書を要求し、制裁金を科すが、企業は頻繁に控訴し、プロセスをさらに長期化させる。これらの調査がどのように展開し、規制当局が実際にどのような権限を持っているかを理解しようとしている読者にとって、CNIL解説は、欧州で最も活動的なデータ保護当局の1つがどのように運営されているかを有用な視点で示している。なぜなら、同じ基本的な執行原則がオランダを含むすべてのEU加盟国に適用されるからである。

これはあなたの個人データにとって何を意味するか

ウーバーへの制裁金の規模（現在、2つの執行措置で合計11億ユーロ超）は、EU規制当局が自動化された意思決定とデータ転送の違反をどれほど深刻に扱っているかを反映している。しかし、制裁金の規模は、そもそもデータを誤って取り扱われた人々への影響を帳消しにするものではない。明確な説明や救済手段なしにアカウントを自動停止された運転手は、実際の金銭的損害を経験しており、規制当局に支払われる罰金は、その損害を直接補償するものではない。

このケースは、GDPRが存在する理由が、企業（たとえ大規模で十分なリソースを持つ企業であっても）が常にデータ取り扱いを独自に正しく行うとは限らないからであることを思い出させる。自動化されたシステムは、規制当局が介入しない限り、ほとんど透明性なしに人々の生計に関わる重大な決定を下すことができる。ウーバーのように著名な企業がこれらの慣行で数億ユーロの制裁金を積み上げることができるなら、それはユーザーが、プラットフォームがEUで運営されているという理由だけで、自動的に自社のデータ権利を尊重していると想定すべきではないというシグナルである。

ユーザーが取れるリスク軽減の手順

規制当局が執行を担当する一方で、個人にも実行可能な実践的な手順がある。ライドシェアやギグプラットフォームを含め、定期的に使用するアプリのプライバシー設定とデータ許可を確認し、可能な場合は共有するデータを制限する。自動化された決定が不当に影響を与えたと考える場合、GDPRは人間による審査を要求し、その決定の背後にあるロジックの説明を会社に求める権利を与える。また、会社が対応しない場合は、直接各国のデータ保護当局に苦情を申し立てることもできる。

可能な限り個人データを最小限に抑え、強力なアカウントセキュリティを使用し、プラットフォームが越境データ転送をどのように処理するかについて情報を得ておくことはすべて、ウーバーの制裁金につながったような問題への曝露を減らすことにつながる。

全体像

ウーバーへの運転手データを巡る8億2500万ユーロの制裁金は、GDPR制裁金執行に関するより広い真実を強調している。プライバシー保護は、規制当局が積極的に企業に説明責任を負わせる場合にのみ機能し、ユーザーは企業の善意がギャップを埋めるだろうと想定するのではなく、それらの保護自体を理解することから利益を得るのである。アカウント停止からサービス適格性まで、より多くの自動化システムが日常的な決定を形作るにつれて、GDPRの下での自分の権利について情報を得続けることは、あなたが持つ最も効果的なツールの1つである。あなたが依存しているプラットフォームがあなたのデータをどのように扱っているかを確認する時間を取り、あなたに直接影響を与える自動化された決定に疑問を呈する権利を躊躇せずに行使してほしい。