Den nederlandske datatilsynet bøtelegger Uber med 825 millioner euro for GDPR-brudd mot sjåfører

Nederlandsk tilsynsmyndighet gir Uber rekordhøy bot

Den 21. august 2026 kunngjorde den nederlandske datatilsynet (Autoriteit Persoonsgegevens) at de bøtelegger Uber Technologies Inc. med 825 millioner euro, omtrent 966 millioner dollar, for brudd på Europas generelle datvernforordning (GDPR). Uber GDPR-boten dreier seg om selskapets bruk av automatiserte systemer for å suspendere og deaktivere sjåførkontoer uten å gi disse sjåførene forsvarlig varsel eller en meningsfull mulighet til å bestride avgjørelsen.

Straffen er blant de største GDPR-håndhevingstiltakene som noen gang er utstedt, og legger til en voksende liste over bøter Uber har fått fra samme tilsynsmyndighet. I 2024 bøtelagt den nederlandske datatilsynet Uber med 290 millioner euro for uriktige dataoverføringer til USA, og fant at selskapet ikke hadde oppfylt GDPR-strenge krav for å flytte personopplysninger utenfor Det europeiske økonomiske samarbeidsområdet. Denne nyeste, mye større boten antyder at nederlandske tilsynsmyndigheter ser et mønster snarere enn et isolert etterlevelsesgap.

Hvorfor automatisert beslutningstaking er under lupen

GDPR gir enkeltpersoner spesifikke beskyttelser når selskaper bruker automatiserte systemer til å ta beslutninger som i betydelig grad påvirker dem, inkludert retten til å få en forklaring og retten til å be om menneskelig gjennomgang. Å deaktivere en sjåførs konto, og dermed kutte inntekten deres, uten transparent varsel eller en klageprosess, er nøyaktig den typen automatisert beslutning som forordningen var designet for å begrense.

For et selskap som Uber, hvis forretningsmodell i stor grad er avhengig av algoritmisk styring av sjåførstyrken, skaper dette en strukturell spenning. Automatiserte systemer er effektive til å flagge svindel, sikkerhetsbrudd eller policybrudd i stor skala, men GDPR krever at effektivitet ikke skjer på bekostning av en persons rett til å forstå og utfordre beslutninger som tas om dem. Når tilsynsmyndigheter finner at varslings- og klagemekanismer var utilstrekkelige eller ikke-eksisterende, kan de resulterende bøtene bli alvorlige, nettopp fordi bruddet berører en kjernebeskyttelse snarere enn en teknisk papirfeil.

Del av et bredere mønster av dataansvarlighet

Denne boten eksisterer ikke i isolasjon. Tilsynsmyndigheter og domstoler på tvers av sektorer er i økende grad villige til å ilegge betydelige straffer når selskaper ikke klarer å beskytte hvordan personopplysninger samles inn, behandles eller brukes til å ta konsekvensrike beslutninger. I utdanningssektoren, for eksempel, viste PowerSchool-oppgjøret på 17,25 millioner dollar over Naviance-elevsporing hvordan stille innsamlede data, i det tilfellet elevaktivitet, kan utløse stor juridisk eksponering når de kommer for dagen. Datavernsvikt er ikke begrenset til intensjonell misbruk; hendelser som Iliad Italia-kundedata lagt ut for salg på det mørke nettet viser hvordan personopplysninger kan bli eksponert gjennom brudd snarere enn bedriftspolicy, men likevel etterlate selskaper med regulatoriske og omdømmemessige konsekvenser.

Tatt sammen peker disse sakene på et konsistent tema: organisasjoner som behandler personopplysninger, eller automatiserte beslutninger bygget på slike data, som et lavprioritert etterlevelsesspørsmål, finner seg i økende grad på feil side av bøter på åtte- og nisifrede beløp.

Hva dette betyr for deg

Hvis du kjører for Uber eller en lignende plattform, er denne saken en påminnelse om at du har rettigheter under GDPR (hvis du er i EU) angående beslutninger som tas om kontoen din av automatiserte systemer. Du har generelt krav på å vite hvorfor en automatisert beslutning ble tatt og å be om at et menneske gjennomgår den, ikke bare en algoritme.

For vanlige brukere av samkjøringsapper og andre plattformer som i stor grad er avhengige av datadrevet kontoadministrasjon, understreker denne boten også hvor mye av forholdet ditt til disse selskapene går gjennom automatiserte systemer du aldri ser direkte. Det er verdt å jevnlig gjennomgå hvilke tillatelser og data tilgang du har gitt til app-baserte tjenester, og å forstå at en stor bot som denne er et tegn på at tilsynsmyndigheter aktivt overvåker hvordan disse systemene brukes, ikke bevis på at den underliggende praksisen har endret seg ennå.

Konkrete tiltak du kan ta

• Hvis du er en gig-økonomi-arbeider i EU, vit at GDPR gir deg rett til en forklaring og menneskelig gjennomgang når et automatisert system tar en betydelig beslutning om kontoen eller inntekten din.
• Hold oversikt over eventuelle kontosuspensjoner, deaktiveringsvarsler eller klagekorrespondanse du mottar fra en plattform; denne dokumentasjonen betyr noe hvis du noen gang trenger å bestride en beslutning.
• Gå gjennom personverninnstillingene og datatillatelsene du har gitt til gig-, leverings- eller samkjøringsapper, og tilbakekall tilgang du ikke lenger trenger.
• Følg med på regulatoriske oppdateringer i denne saken, siden GDPR-bøter av denne størrelsen ofte utløser anker og kan ta år å fullt ut løse, noe som kan påvirke hvordan plattformer opererer fremover.

Uber GDPR-boten er en betydelig markør i Europas pågående innsats for å holde store teknologiplattformer ansvarlige for hvordan automatiserte systemer påvirker ekte menneskers levebrød. Om den endrer Ubers praksis umiddelbart gjenstår å se, men den legger reell finansiell vekt bak argumentet om at personvernrettigheter gjelder like mye for algoritmiske beslutninger som for tradisjonell datahåndtering.