Holenderski organ ochrony danych nakłada na Ubera rekordową karę w wysokości 825 mln euro za naruszenie RODO wobec kierowców

Holenderski regulator nakłada na Ubera rekordową karę

26 sierpnia 2026 r. holenderski organ ochrony danych osobowych (Autoriteit Persoonsgegevens) ogłosił nałożenie na Uber Technologies Inc. kary w wysokości 825 mln euro, czyli około 966 mln dolarów, za naruszenie europejskiego ogólnego rozporządzenia o ochronie danych. Kara dla Ubera związana z RODO dotyczy wykorzystywania przez firmę zautomatyzowanych systemów do zawieszania i dezaktywacji kont kierowców bez zapewnienia im odpowiedniego powiadomienia ani realnej możliwości odwołania się od tej decyzji.

Kara należy do największych sankcji egzekwowania RODO, jakie kiedykolwiek nałożono, i dołącza do rosnącej listy grzywien, które Uber otrzymał od tego samego regulatora. W 2024 r. holenderski organ ochrony danych nałożył na Ubera karę w wysokości 290 mln euro za nieprawidłowe przekazywanie danych do Stanów Zjednoczonych, uznając, że firma nie spełniła rygorystycznych wymogów RODO dotyczących przenoszenia danych osobowych poza Europejski Obszar Gospodarczy. Ta najnowsza, znacznie wyższa kara sugeruje, że holenderscy regulatorzy dostrzegają pewien wzorzec, a nie pojedynczą lukę w zgodności.

Dlaczego zautomatyzowane podejmowanie decyzji jest pod lupą

RODO przyznaje osobom fizycznym szczególną ochronę, gdy firmy wykorzystują zautomatyzowane systemy do podejmowania decyzji, które mają na nie istotny wpływ, w tym prawo do otrzymania wyjaśnienia oraz prawo do wystąpienia o kontrolę przez człowieka. Dezaktywacja konta kierowcy, pozbawiająca go dochodów, bez przejrzystego powiadomienia lub procedury odwoławczej, to dokładnie ten rodzaj zautomatyzowanej decyzji, którą rozporządzenie miało ograniczać.

Dla firmy takiej jak Uber, której model biznesowy w dużej mierze opiera się na algorytmicznym zarządzaniu pracą kierowców, tworzy to strukturalne napięcie. Systemy zautomatyzowane są skuteczne w wykrywaniu na dużą skalę oszustw, naruszeń bezpieczeństwa czy łamania zasad, ale RODO wymaga, aby ta skuteczność nie odbywała się kosztem prawa osoby do zrozumienia i zakwestionowania decyzji jej dotyczących. Gdy regulatorzy stwierdzą, że mechanizmy powiadamiania i odwoławcze były nieodpowiednie lub nie istniały, nałożone kary mogą być surowe, właśnie dlatego, że naruszenie dotyka podstawowej ochrony, a nie jest jedynie technicznym błędem administracyjnym.

Część szerszego wzorca odpowiedzialności za dane

Ta kara nie istnieje w izolacji. Regulatorzy i sądy w różnych sektorach coraz częściej nakładają znaczące sankcje, gdy firmy nie chronią sposobu, w jaki dane osobowe są gromadzone, przetwarzane lub wykorzystywane do podejmowania decyzji o istotnych konsekwencjach. W sektorze edukacji, na przykład, ugoda PowerSchool w wysokości 17,25 mln dolarów dotycząca śledzenia uczniów przez Naviance pokazała, jak cicho gromadzone dane, w tym przypadku aktywność uczniów, mogą wywołać poważne ryzyko prawne, gdy wyjdą na jaw. Problemy z ochroną danych nie ograniczają się też do celowego nadużycia; incydenty takie jak dane klientów Iliad Italia wystawione na sprzedaż w darknecie pokazują, jak dane osobowe mogą zostać ujawnione w wyniku naruszeń, a nie polityki korporacyjnej, a mimo to firmy nadal ponoszą konsekwencje regulacyjne i wizerunkowe.

Wszystkie te przypadki wskazują na spójny motyw: organizacje, które traktują dane osobowe lub oparte na nich zautomatyzowane decyzje jako kwestię zgodności o niskim priorytecie, coraz częściej stają po przegranej stronie kar sięgających ośmiu i dziewięciu cyfr.

Co to oznacza dla Ciebie

Jeśli jeździsz dla Ubera lub podobnej platformy, ta sprawa przypomina, że masz prawa wynikające z RODO (jeśli jesteś w UE) dotyczące decyzji podejmowanych o Twoim koncie przez systemy zautomatyzowane. Co do zasady masz prawo wiedzieć, dlaczego podjęto zautomatyzowaną decyzję, oraz zażądać, aby przejrzał ją człowiek, a nie tylko algorytm.

Dla zwykłych użytkowników aplikacji do przewozów osób i innych platform opierających się w dużej mierze na zarządzaniu kontami opartym na danych, ta kara podkreśla również, jak duża część relacji z tymi firmami przebiega przez niewidoczne dla Ciebie systemy zautomatyzowane. Warto okresowo przeglądać uprawnienia i dostęp do danych, które przyznałeś usługom opartym na aplikacjach, i rozumieć, że tak wysoka kara jest oznaką, iż regulatorzy aktywnie monitorują sposób wykorzystania tych systemów, a nie dowodem na to, że praktyki u podstaw już się zmieniły.

Praktyczne wnioski

• Jeśli jesteś pracownikiem gospodarki gig w UE, pamiętaj, że RODO daje Ci prawo do wyjaśnienia i kontroli przez człowieka, gdy zautomatyzowany system podejmuje istotną decyzję dotyczącą Twojego konta lub dochodów.
• Prowadź dokumentację wszelkich zawieszeń konta, powiadomień o dezaktywacji lub korespondencji odwoławczej otrzymanej od platformy; ta dokumentacja ma znaczenie, jeśli kiedykolwiek będziesz musiał zakwestionować decyzję.
• Przejrzyj ustawienia prywatności i uprawnienia do danych, które przyznałeś aplikacjom do pracy gig, dostaw lub przewozów, i cofnij dostęp, którego już nie potrzebujesz.
• Śledź aktualizacje regulacyjne w tej sprawie, ponieważ kary tej wielkości wynikające z RODO często wywołują odwołania i mogą zająć lata, zanim zostaną ostatecznie rozstrzygnięte, co może wpłynąć na sposób działania platform w przyszłości.

Kara dla Ubera związana z RODO to ważny kamień milowy w trwających w Europie działaniach na rzecz pociągnięcia dużych platform technologicznych do odpowiedzialności za wpływ systemów zautomatyzowanych na realne źródła utrzymania ludzi. To, czy natychmiast zmieni praktyki Ubera, dopiero się okaże, ale dodaje ona realnej wagi finansowej argumentowi, że prawa do ochrony danych dotyczą decyzji algorytmicznych w takim samym stopniu, jak tradycyjnego przetwarzania danych.