Den 21. august 2026 ila den nederlandske datatilsynsmyndigheten (Autoriteit Persoonsgegevens, eller AP) Uber et gebyr på 824 990 000 euro, noe som gjør det til den nest høyeste GDPR-boten som noensinne er utstedt. Saken dreier seg om et snevert, men viktig spørsmål: Kan et selskap la programvare avgjøre, uten menneskelig involvering, når noens livsgrunnlag skal kuttes? For Uber-sjåfører hvis kontoer ble deaktivert av automatiserte systemer, er svaret fra nederlandske tilsynsmyndigheter et klart nei. Denne GDPR-boten om automatisert beslutningstaking er en milepælstest på hvor langt selskaper kan gå i å bruke algoritmer til å styre mennesker.

Hva den nederlandske DPA-en fant at Uber gjorde galt

AP-undersøkelsen konkluderte med at Uber deaktiverte sjåfører gjennom fullt automatiserte prosesser, noe som betyr at beslutninger med alvorlige konsekvenser (tap av inntekt, tap av tilgang til plattformen) ble tatt uten meningsfull menneskelig gjennomgang. Under den generelle personvernforordningen er denne typen automatisert beslutningstaking bare lovlig under spesifikke, snevre vilkår. AP fastslo at Ubers praksis ikke oppfylte disse kravene, og størrelsen på boten gjenspeiler både omfanget av Ubers europeiske virksomhet og alvorlighetsgraden av overtredelsen. To tidligere rapporter om denne saken dekker selve boten og den underliggende praksisen mer detaljert; lesere som ønsker full gjennomgang av boten og hvordan den ble beregnet, kan se dekningen av Dutch Regulator Hits Uber With $966M GDPR Fine, samt følgerapporten om Dutch DPA Fines Uber €825M Over Driver GDPR Breach. Denne artikkelen fokuserer i stedet på personvernrettigheten som står i sentrum av saken: det juridiske vernet mot å bli vurdert utelukkende av en maskin.

Hvordan GDPR-artikkel 22 beskytter mot fullt automatiserte beslutninger

Det juridiske grunnlaget for APs vedtak er artikkel 22 i GDPR, som gir enkeltpersoner rett til ikke å bli utsatt for en beslutning som utelukkende er basert på automatisert behandling, når beslutningen har rettsvirkning eller på tilsvarende måte i betydelig grad påvirker dem. Å miste tilgangen til en plattform som er noens primære inntektskilde kvalifiserer klart. Artikkel 22 forbyr ikke automatisering fullstendig. Selskaper kan bruke automatiserte systemer hvis de får uttrykkelig samtykke, hvis automatisering er nødvendig for en kontrakt, eller hvis det er autorisert ved lov, og selv da har personer rett til menneskelig intervensjon, til å uttrykke sitt synspunkt og til å bestride utfallet. Kjerneprinsippet er at et menneske med myndighet til å endre utfallet må kunne gjennomgå saken. En rutinemessig godkjenning, der en person bare bekrefter det algoritmen allerede har bestemt, oppfyller ikke denne standarden. Tilsynsmyndigheter over hele Europa har i økende grad fokusert på dette skillet mellom ekte menneskelig tilsyn og kosmetisk menneskelig involvering.

Hvorfor automatisert profilering betyr noe utover gig-økonomien

Ubers sak involverer sjåfører, men det samme juridiske prinsippet berører mye mer av dagliglivet enn bare formidling av skyss. Automatiserte vurderings- og beslutningssystemer påvirker nå kredittgodkjenninger, prising av forsikringer, ansettelsesscreening, svindelmarkeringer på finansielle kontoer og innholdsmoderering på store plattformer. Ethvert system som profilerer en person og deretter utløser et konsekvensrikt utfall, uten at et menneske meningsfullt kontrollerer resultatet, risikerer å bli rammet av det samme problemet med artikkel 22 som AP identifiserte. Boten signaliserer til selskaper som opererer i EU at automatiserte systemer bygget for effektivitet fortsatt trenger et ekte menneskelig kontrollpunkt når innsatsen for enkeltpersoner er høy. Den gir også vanlige brukere en klarere forståelse av hva de skal se etter: uklare, uforklarlige kontosuspensjoner eller avvisninger som kommer uten noen vei til en menneskelig kontrollør, er et rødt flagg i henhold til EUs personvernlovgivning.

Hva dette betyr for deg

Hvis du bruker plattformer basert i eller opererende innenfor EU, enten det er for arbeid, lån, forsikring eller noe annet, har du generelt rett til å spørre om en beslutning som påvirker deg ble tatt av et menneske eller en maskin. Du kan be om en forklaring, be om menneskelig gjennomgang og utfordre utfallet. Selskaper er forventet å bygge disse alternativene inn i prosessene sine, ikke behandle dem som valgfrie tillegg. Uber-boten understreker at tilsynsmyndigheter er villige til å ilegge alvorlige økonomiske straffer, ikke bare advarsler, når selskaper hopper over dette trinnet. Det gir reell tyngde til klager som sendes inn til datatilsynsmyndigheter når en plattform ignorerer eller avviser en forespørsel om menneskelig gjennomgang.

Viktige poenger

Hvis du har blitt påvirket av en automatisert beslutning på en hvilken som helst plattform, bør du be om en full forklaring skriftlig og spesifikt be om menneskelig gjennomgang, siden dette er en rettighet under GDPR-artikkel 22, ikke en høflighet. Ta vare på journaler over enhver deaktivering, avvisning eller nektelsesmelding, inkludert tidsstempler og begrunnelsen som er gitt, siden disse detaljene betyr noe hvis du senere sender inn en klage til en datatilsynsmyndighet. Hvis et selskap nekter å gi menneskelig gjennomgang eller en tydelig klagevei, kan du eskalere direkte til din nasjonale datatilsynsmyndighet. Ubers bot på 825 millioner euro viser at dette rammeverket for GDPR-boter om automatisert beslutningstaking har reell tyngde, og det er en påminnelse om at mennesker, ikke bare plattformer, har reell makt til å slå tilbake når algoritmer tar den endelige avgjørelsen.