Uber stoi w obliczu jednej z największych kar za naruszenie prywatności, jakie kiedykolwiek nałożono w Europie. Holenderski organ ochrony danych osobowych (Autoriteit Persoonsgegevens) nałożył na firmę przewozową grzywnę w wysokości 825 mln euro, czyli około 966 mln dolarów, w związku z wykorzystywaniem systemów automatycznych do zawieszania kont kierowców. Kara ta jest drugą co do wielkości grzywną nałożoną kiedykolwiek na mocy ogólnego rozporządzenia o ochronie danych (RODO), co podkreśla, jak poważnie europejscy regulatorzy traktują decyzje algorytmiczne wpływające na źródła utrzymania ludzi.

Co ustalił holenderski regulator

Według holenderskiego organu ochrony danych Uber polegał na automatycznym oprogramowaniu do oznaczania i zawieszania kont kierowców, co pozbawiało kierowców możliwości pracy na platformie, czasami bez odpowiedniego przeglądu przez człowieka lub jasnej ścieżki odwołania się od decyzji. Egzekwowanie przepisów RODO na taką skalę jest rzadkością, a wysokość tej grzywny sygnalizuje, że regulatorzy postrzegają automatyczną dezaktywację kont jako poważny problem związany z ochroną danych, a nie tylko spór dotyczący obsługi klienta. Jak szczegółowo opisano we wcześniejszym artykule o karze dla Ubera za naruszenie RODO dotyczące banów, kara wynika bezpośrednio ze sposobu, w jaki algorytmy firmy przetwarzały dane osobowe, podejmując decyzje o daleko idących konsekwencjach dla kierowców, bez wystarczającej przejrzystości i nadzoru.

Sprawa ta uwypukla powracające napięcie w ekonomii platform: firmy w coraz większym stopniu polegają na systemach automatycznych do zarządzania dużą liczbą pracowników na dużą skalę, ale te same systemy mogą podejmować decyzje zmieniające życie, takie jak odcięcie komuś źródła dochodu, przy minimalnej widoczności tego, jak i dlaczego podjęto daną decyzję.

Dlaczego automatyczne zawieszenia podlegają kontroli na mocy RODO

RODO przyznaje osobom fizycznym określone prawa w zakresie zautomatyzowanego podejmowania decyzji. Zgodnie z rozporządzeniem osoby mają co do zasady prawo do tego, aby nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, jeśli decyzja ta wywołuje skutki prawne lub w podobny sposób istotnie wpływa na daną osobę. Zawieszenie konta kierowcy, a tym samym pozbawienie go możliwości zarabiania, wyraźnie mieści się w tej kategorii.

Regulatorzy konsekwentnie sprzeciwiają się firmom, które wykorzystują algorytmy typu „czarna skrzynka" do podejmowania tego rodzaju decyzji bez zapewnienia zainteresowanym osobom znaczącej możliwości przeglądu przez człowieka lub wyjaśnienia decyzji. Ta kara dla Ubera wpisuje się w szerszy wzorzec egzekwowania RODO ukierunkowany na systemy automatyczne pozbawione przejrzystości, a nie na karanie naruszeń danych lub incydentów hakerskich.

Dla firmy działającej na kilkudziesięciu europejskich rynkach kara tej wielkości, druga co do wysokości w historii RODO, jest jasnym sygnałem, że organy ochrony danych są gotowe nakładać surowe sankcje finansowe, gdy procesy automatyczne naruszają prawa osób fizycznych.

Co to oznacza dla Ciebie

Jeśli jeździsz dla platformy ekonomii gig, współpracujesz z jakąkolwiek usługą wykorzystującą automatyczne zarządzanie kontami lub po prostu korzystasz z aplikacji, które podejmują wobec Ciebie decyzje algorytmiczne, ta sprawa przypomina, że masz prawa wynikające z przepisów o ochronie prywatności w zakresie zautomatyzowanego podejmowania decyzji. W UE obejmuje to prawo do wystąpienia o interwencję człowieka, wyrażenia swojego stanowiska i zakwestionowania decyzji podjętej wyłącznie przez algorytm.

Nawet jeśli nie jesteś kierowcą ani pracownikiem gig, to orzeczenie ma znaczenie, ponieważ wzmacnia przekaz, jak poważnie regulatorzy traktują ochronę danych w odniesieniu do systemów automatycznych w ogóle, a nie tylko naruszeń danych czy hakerstwa. Firmy, które polegają na algorytmach do zarządzania kontami, członkostwami lub usługami, stoją teraz przed realnym ryzykiem finansowym, jeśli te systemy działają bez odpowiedniej przejrzystości lub nadzoru człowieka.

Dla zwykłych użytkowników to również dobry moment, aby przyjrzeć się temu, jak dużą kontrolę masz nad własnymi danymi i statusem konta na platformach, z których regularnie korzystasz. Zrozumienie procesu odwoławczego firmy oraz tego, czy człowiek weryfikuje decyzje automatyczne, może pomóc Ci uniknąć znalezienia się w podobnym sporze.

Kluczowe wnioski

Kara dla Ubera to przełomowy moment dla egzekwowania RODO, a także kilka praktycznych lekcji dla czytelników:

  • Znaj swoje prawa: na mocy RODO możesz zażądać przeglądu przez człowieka każdej automatycznej decyzji, która ma istotny wpływ na Ciebie.
  • Jeśli platforma zawiesi lub ograniczy Twoje konto, zapytaj wprost, czy decyzja była automatyczna i poproś o wyjaśnienie.
  • Prowadź rejestr swojej aktywności na koncie i wszelkiej komunikacji z platformą na wypadek konieczności zakwestionowania automatycznej decyzji.
  • Śledź dalsze wydarzenia, ponieważ ta kara może skłonić innych regulatorów w Europie do analizy podobnych systemów automatycznych stosowanych przez inne firmy.

W miarę jak regulatorzy testują granice RODO w odniesieniu do potężnych systemów automatycznych, sprawy takie jak ta będą prawdopodobnie kształtować sposób, w jaki platformy projektują swoje algorytmy oraz zakres przejrzystości, jaką są zobowiązane zapewnić osobom, na które te algorytmy wpływają.