Den 21. august 2026 kunngjorde det nederlandske datatilsynet (Dutch DPA) at de hadde ilagt Uber en bot på 824 990 000 euro for brudd på EUs personvernforordnings forbud mot visse utelukkende automatiserte beslutninger med hensyn til sjåfører. Ubers GDPR-bot for automatiserte beslutninger er et viktig øyeblikk for alle hvis personopplysninger driver systemer som tar konsekvensrike valg om dem uten at et menneske er involvert.

Dette innlegget forklarer hva tilsynsmyndigheten kunngjorde, hva «utelukkende automatiserte beslutninger» betyr i klartekst, hvem andre som kan bli berørt, og hvor en VPN passer inn (og hvor den ikke gjør det).

Hva det nederlandske datatilsynet ila Uber bot for

Ifølge kunngjøringen ila det nederlandske datatilsynet Uber en sanksjon for brudd på GDPR-begrensningen på utelukkende automatiserte beslutninger slik de gjelder sjåfører. Boten utgjør totalt 824 990 000 euro. Dekningen av saken beskriver tvisten som sentrert om automatiserte systemer brukt til å suspendere eller deaktivere sjåførkontoer, og rapporter tyder på at sanksjonen rangerer blant de største som noensinne er ilagt under GDPR.

Uber har ifølge rapportering bestridt funnene, og sier at deres deaktiveringsprosesser er i samsvar med loven. Selskapets posisjon og en eventuell anke er verdt å følge med på, siden detaljene i avgjørelsen kan bli prøvd ytterligere. For en fyldigere redegjørelse for avgjørelsen selv, se den eksisterende rapporten fra vpn.social, Nederlandsk DPA ilegger Uber 825 mill. euro for GDPR-brudd mot sjåfører.

Hva «utelukkende automatiserte beslutninger» betyr i klartekst

GDPR (i artikkel 22) gir folk en rett til ikke å være gjenstand for en beslutning som utelukkende er basert på automatisert behandling når denne beslutningen har rettslige eller tilsvarende betydelige virkninger for dem. Enkelt sagt: hvis programvare tar en avgjørelse som alvorlig påvirker livet eller levebrødet ditt, og ingen person gjør en reell vurdering av den, er det et problem etter EU-retten med mindre spesifikke vilkår er oppfylt.

Tre ideer hjelper med å gjøre dette konkret:

  • Utelukkende automatisert: Ingen reell menneskelig involvering. En person som bare godkjenner resultatet fra en algoritme uten evne eller myndighet til å endre det, teller kanskje ikke som meningsfull overvåking.
  • Betydelig virkning: Utfallet har betydning. Å miste tilgangen til en konto som gir deg inntekt er et klart eksempel på den typen påvirkning tilsynsmyndigheter bryr seg om.
  • Sikkerhetstiltak: Der automatiserte beslutninger er tillatt, trenger folk vanligvis måter å få menneskelig inngripen, si sin mening og bestride utfallet.

Saken viser at tilsynsmyndigheter er villige til å håndheve disse grensene overfor en stor plattform, og til å knytte en svært stor sanksjon til dem.

Hvem er berørt utover Uber-sjåfører

Avgjørelsen gjelder Uber-sjåfører, men prinsippet rekker mye lenger. Automatiserte systemer påvirker allerede beslutninger om:

  • Gig- og plattformarbeidere, inkludert kontosuspensjoner og lønn.
  • Jobbsøkere som screenes av automatiserte verktøy.
  • Kunder som møter automatiserte svindelflagg, kontostengninger eller kredittrelaterte utfall.
  • Brukere av enhver tjeneste der en algoritme kan begrense tilgangen til en konto.

Kildematerialet sier ikke hvordan avgjørelsen vil bli anvendt på andre selskaper, så det ville være en feil å overdrive rekkevidden. Likevel har enhver organisasjon som er avhengig av automatisert beslutningstaking i EU nå en profilert grunn til å gjennomgå om det finnes reell menneskelig overvåking, og om berørte personer kan utfordre utfall.

Hva en VPN gjør og ikke gjør mot algoritmisk profilering

En VPN krypterer trafikken din mellom enheten din og VPN-serveren og skjuler IP-adressen din fra nettstedene du besøker. Det er nyttig for personvern på offentlige nettverk og for å begrense noe lokasjonsbasert sporing.

Den stopper imidlertid ikke algoritmisk profilering utført av en tjeneste du er logget inn på. Hvis du kjører for en plattform, handler med en konto eller søker på en jobb gjennom en portal, har selskapet allerede dataene du ga det og dataene som aktiviteten din genererer. Et automatisert system som bruker disse dataene til å ta beslutninger om deg, påvirkes ikke av hvorvidt tilkoblingen din går gjennom en VPN.

Kort sagt, en VPN er et verktøy for nettverkspersonvern. Beskyttelsen mot ugjennomsiktige automatiserte beslutninger kommer fra juridiske rettigheter og tilsynsmyndigheter, noe denne saken nettopp illustrerer.

Hva dette betyr for deg

Hvis du bor i EU eller har å gjøre med EU-regulerte selskaper, er GDPR-rettighetene dine et praktisk verktøy:

  • Still spørsmål. Du kan be om informasjon om personopplysningene et selskap har om deg, og hvordan de brukes i beslutninger.
  • Be om menneskelig gjennomgang. Hvis en automatisert beslutning påvirker deg betydelig, spør om en person har gjennomgått den, og be om det hvis ikke.
  • Ta vare på dokumentasjon. Lagre varsler, e-poster og skjermbilder av suspensjoner eller avslag.
  • Vit hvor du kan klage. Datatilsynsmyndigheter tar imot klager, og det er slik saker som denne kan begynne.

Utenfor EU er beskyttelsen annerledes, men saken viser retningen tilsynsmyndighetene beveger seg i.

Viktige punkter

Ubers GDPR-bot for automatiserte beslutninger viser at grensene for algoritmisk beslutningstaking håndheves, ikke bare skrives ned. Forstå rettighetene dine knyttet til automatiserte beslutninger, bruk dem når et system påvirker inntekten din eller tilgangen til tjenester, og behandle en VPN som ett lag med nettverkspersonvern snarere enn en løsning på profilering. For de fulle detaljene i avgjørelsen, les vår eksisterende rapport om det nederlandske datatilsynets Uber-bot.