2026年8月21日、オランダのデータ保護当局（Autoriteit Persoonsgegevens、通称AP）はUberに対し8億2,490万ユーロの罰金を科した。これはGDPRに基づく制裁として史上2番目の高額となった。この事件の中心にあるのは、狭いながらも重大な問いである。企業は、人間の関与なしにソフトウェアに誰かの生計を断つ判断をさせることができるのか。自動化されたシステムによってアカウントが無効化されたUberドライバーにとって、オランダの規制当局の答えは明確な「ノー」である。このGDPR自動意思決定への罰金は、企業がアルゴリズムにどこまで依存して人々を管理できるかを試す画期的な事例である。

オランダのデータ保護当局がUberの何が問題だと判断したか

APの調査は、Uberがドライバーを完全に自動化されたプロセスで無効化しており、重大な結果（収入の喪失、プラットフォームへのアクセス喪失）を伴う判断が、意味のある人間による審査なしに行われていたと結論づけた。一般データ保護規則（GDPR）の下では、この種の自動意思決定は、特定の狭い条件のもとでのみ合法である。APはUberの慣行がこれらの条件を満たしていないと判断し、罰金の額はUberの欧州事業の規模と違反の重大性の両方を反映している。この事件に関する2つの先行記事では、制裁そのものと根底にある慣行についてより詳しく扱っている。罰金の全容とその計算方法を知りたい読者は、オランダ規制当局、Uberに9億6,600万ドルのGDPR罰金の報道と、関連レポートであるオランダDPA、ドライバーのGDPR違反でUberに8億2,500万ユーロの罰金を参照されたい。本稿では、この事件の核心にあるプライバシー権、すなわち機械のみによって判断されることに対する法的保護に焦点を当てる。

GDPR第22条は完全に自動化された決定からどのように保護するか

APの決定の法的根拠はGDPR第22条であり、個人は、法的効果を生じる、または同様に重大な影響を及ぼす決定が、自動化処理のみに基づいて行われることを受けない権利を有するとされている。誰かの主要な収入源であるプラットフォームへのアクセスを失うことは、明らかにこれに該当する。第22条は自動化を全面的に禁止しているわけではない。企業は、明示的な同意を得た場合、契約のために自動化が必要な場合、または法律で認められている場合に自動化システムを使用でき、その場合でも、人は人間による介入を得て、自分の見解を表明し、結果に異議を唱える権利を有する。核心となる要件は、結果を変更する権限を持つ人間がそのケースを審査できなければならないということである。アルゴリズムが決定したことを単に人間が確認するだけの形だけの審査は、この基準を満たさない。欧州全域の規制当局は、真の人間による監督と名目だけの人間の関与との間のこの区別にますます注目している。

自動化されたプロファイリングがギグワークを超えて重要な理由

Uberの事件はドライバーに関するものだが、同じ法的原則は配車サービスよりもはるかに日常生活の多くの側面に及ぶ。自動化されたスコアリングと意思決定システムは、現在、融資審査、保険料設定、採用スクリーニング、金融口座の不正検知フラグ、主要プラットフォームのコンテンツモデレーションに影響を与えている。個人をプロファイリングし、その結果に基づいて重大な結果を引き起こすシステムは、結果を人間が有意義にチェックしない限り、APが特定したのと同じ第22条の問題に直面するリスクがある。この罰金は、EUで事業を展開する企業に対し、効率性のために構築された自動化パイプラインでも、個人にとっての影響が大きい場合には、真の人間によるチェックポイントが必要であるというシグナルを送っている。また、一般ユーザーにも、何に注目すべきかについてより明確な感覚を与えている。不透明で説明のないアカウント停止や拒否で、人間のレビュアーへの道筋がないものは、EUプライバシー法上の危険信号である。

これがあなたにとって何を意味するか

EU内に拠点を置く、またはEU内で事業を展開するプラットフォームを、仕事、融資、保険、その他何でも利用している場合、あなたに影響を与える決定が人間によってなされたのか機械によってなされたのかを問い合わせる権利が一般的にある。説明を求めたり、人間による審査を依頼したり、結果に異議を唱えたりすることができる。企業はこれらのオプションをプロセスに組み込むことが義務付けられており、任意の追加機能として扱ってはならない。Uberへの罰金は、規制当局が、企業がこのステップを省略した場合、警告だけでなく深刻な金銭的制裁を課す用意があることを強調している。プラットフォームが人間による審査の要求を無視したり、拒否したりした場合に、データ保護当局に提出する苦情に実質的な重みを与えている。

重要なポイント

プラットフォームで自動化された決定の影響を受けた場合、書面で完全な説明を要求し、特に人間による審査を依頼すること。これはGDPR第22条に基づく権利であり、好意ではない。停止、拒否、否認の通知は、タイムスタンプと提示された理由を含めて記録を保持すること。これらの詳細は、後にデータ保護当局に苦情を申し立てる場合に重要となる。企業が人間による審査や明確な異議申し立て経路の提供を拒否する場合、お住まいの国のデータ保護当局に直接申し立てをエスカレーションできる。Uberへの8億2,500万ユーロの罰金は、このGDPR自動意思決定への罰金の枠組みが実際に効果を持つことを示しており、アルゴリズムが最終判断を下すとき、プラットフォームだけでなく人々も有意義な力を発揮して反撃できることを思い出させるものである。