Uber står overfor en av de største personvernstraffene som noen gang er utstedt i Europa. Den nederlandske datatilsynsmyndigheten (Autoriteit Persoonsgegevens) har ilagt samkjøringsselskapet en bot på 825 millioner euro, omtrent 966 millioner dollar, for bruken av automatiserte systemer for å suspendere sjåførkontoer. Straffen er den nest største boten som noen gang er ilagt under personvernforordningen (GDPR), noe som understreker hvor alvorlig europeiske reguleringsmyndigheter behandler algoritmisk beslutningstaking som påvirker menneskers levebrød.

Hva den nederlandske tilsynsmyndigheten fant

Ifølge den nederlandske datatilsynsmyndigheten brukte Uber automatisert programvare for å flagge og suspendere sjåførkontoer – en prosess som fratok sjåfører muligheten til å jobbe på plattformen, noen ganger uten tilstrekkelig menneskelig gjennomgang eller en tydelig vei for å bestride avgjørelsen. GDPR-håndhevinger av denne størrelsesorden er sjeldne, og størrelsen på boten signaliserer at reguleringsmyndighetene ser på automatiserte kontodeaktiveringer som et alvorlig databeskyttelsesproblem, ikke bare en kundeservicetvist. Som beskrevet i tidligere dekning av Ubers GDPR-suspensjonsbot, stammer straffen direkte fra hvordan selskapets algoritmer behandlet personopplysninger for å ta konsekvensrike beslutninger om sjåfører uten tilstrekkelig åpenhet eller tilsyn.

Saken belyser en tilbakevendende spenning i plattformøkonomien: Selskaper er i økende grad avhengige av automatiserte systemer for å håndtere store arbeidsstyrker i skala, men de samme systemene kan ta livsendrende beslutninger, som å kutte noens inntekt, med liten innsikt i hvordan eller hvorfor en beslutning ble tatt.

Hvorfor automatiske suspensjoner utløser GDPR-gransking

GDPR gir enkeltpersoner spesifikke rettigheter når det gjelder automatisk beslutningstaking. Under forordningen har folk generelt rett til ikke å bli underlagt en beslutning som utelukkende er basert på automatisert behandling, når beslutningen har rettsvirkninger eller tilsvarende betydelige konsekvenser for dem. Å suspendere en sjåførs konto, og dermed deres mulighet til å tjene inntekt, faller klart inn under denne kategorien.

Reguleringsmyndighetene har konsekvent presset tilbake mot selskaper som bruker svarte boks-algoritmer til å ta denne typen avgjørelser uten å gi berørte enkeltpersoner en meningsfull mulighet til menneskelig gjennomgang eller en forklaring på beslutningen. Boten mot Uber passer inn i det bredere mønsteret av GDPR-håndhevelse som retter seg mot automatiserte systemer som mangler åpenhet, snarere enn å straffe datalekkasjer eller hackingangrep.

For et selskap som opererer på tvers av dusinvis av europeiske markeder, er en bot av denne størrelsesorden – den nest største GDPR-straffen på record – et tydelig signal om at databeskyttelsesmyndighetene er villige til å ilegge strenge økonomiske konsekvenser når automatiserte prosesser finnes å krenke enkeltpersoners rettigheter.

Hva dette betyr for deg

Hvis du kjører for en plattform i delingsøkonomien, jobber med en tjeneste som bruker automatisert kontoadministrasjon, eller bare bruker apper som tar algoritmiske beslutninger om deg, er denne saken en påminnelse om at du har rettigheter under personvernlovgivningen når det gjelder automatisk beslutningstaking. I EU inkluderer dette retten til å be om menneskelig innblanding, til å gi uttrykk for ditt synspunkt, og til å bestride en beslutning som utelukkende er tatt av en algoritme.

Selv om du ikke er sjåfør eller arbeider i delingsøkonomien, betyr kjennelsen noe fordi den forsterker hvor alvorlig reguleringsmyndighetene behandler databeskyttelse knyttet til automatiserte systemer generelt, ikke bare datalekkasjer eller hacking. Selskaper som er avhengige av algoritmer for å administrere kontoer, medlemskap eller tjenester, står nå overfor reell økonomisk risiko hvis disse systemene opererer uten tilstrekkelig åpenhet eller menneskelig tilsyn.

For vanlige brukere er dette også en god anledning til å gjennomgå hvor mye kontroll du har over dine egne data og kontostatus på plattformer du bruker jevnlig. Å forstå et selskaps klageprosess, og om et menneske gjennomgår automatiserte beslutninger, kan hjelpe deg med å unngå å havne i en lignende tvist.

Viktige lærdommer

Uber-boten er et landemerkeøyeblikk for GDPR-håndhevelse, og den gir noen praktiske lærdommer for leserne:

  • Kjenn dine rettigheter: under GDPR kan du be om menneskelig gjennomgang av enhver automatisk beslutning som påvirker deg betydelig.
  • Hvis en plattform suspenderer eller begrenser kontoen din, spør spesifikt om beslutningen var automatisert og be om en forklaring.
  • Ta vare på oversikter over kontoaktiviteten din og all kommunikasjon med en plattform i tilfelle du må bestride en automatisert beslutning.
  • Følg med på videre utvikling, ettersom denne boten kan få andre reguleringsmyndigheter i Europa til å granske lignende automatiserte systemer som brukes av andre selskaper.

Ettersom reguleringsmyndighetene fortsetter å teste grensene for GDPR mot kraftige automatiserte systemer, vil saker som denne sannsynligvis forme hvordan plattformer designer algoritmene sine og hvor mye åpenhet de skylder menneskene som påvirkes av dem.