21 sierpnia 2026 r. holenderski organ ochrony danych (holenderski DPA) ogłosił, że nałożył na Ubera grzywnę w wysokości 824 990 000 euro za naruszenie zakazu wynikającego z unijnego ogólnego rozporządzenia o ochronie danych, dotyczącego niektórych decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu w odniesieniu do kierowców. Grzywna dla Ubera za zautomatyzowane decyzje RODO to istotny moment dla każdego, którego dane osobowe zasilają systemy podejmujące doniosłe decyzje na jego temat bez udziału człowieka.

W tym wpisie wyjaśniamy, co ogłosił regulator, co oznacza „decyzje oparte wyłącznie na zautomatyzowanym przetwarzaniu" prostym językiem, kto jeszcze może być dotknięty oraz gdzie pasuje VPN (a gdzie nie).

Za co holenderski DPA ukarał Ubera

Zgodnie z ogłoszeniem holenderski DPA ukarał Ubera za naruszenie ograniczenia RODO dotyczącego decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu w odniesieniu do kierowców. Grzywna wynosi łącznie 824 990 000 euro. Relacje z tej sprawy opisują spór jako dotyczący zautomatyzowanych systemów wykorzystywanych do zawieszania lub dezaktywowania kont kierowców, a doniesienia wskazują, że kara należy do największych kiedykolwiek nałożonych na podstawie RODO.

Według doniesień Uber zakwestionował ustalenia, twierdząc, że jego procesy dezaktywacji są zgodne z prawem. Stanowisko spółki i ewentualne odwołanie są warte obserwowania, ponieważ szczegóły decyzji mogą być dalej badane. Pełniejszy opis samego rozstrzygnięcia znajduje się w istniejącym raporcie vpn.social, Holenderski DPA nakłada na Ubera grzywnę 825 mln euro za naruszenie RODO wobec kierowców.

Co oznacza „decyzje oparte wyłącznie na zautomatyzowanym przetwarzaniu" prostym językiem

RODO (w art. 22) przyznaje ludziom prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, gdy decyzja ta wywiera na nich skutki prawne lub w podobny sposób istotnie na nich wpływa. Mówiąc najprościej: jeśli oprogramowanie podejmuje decyzję, która poważnie wpływa na twoje życie lub źródło utrzymania, a żaden człowiek nie dokonuje jej rzeczywistej weryfikacji, stanowi to problem w świetle prawa UE, chyba że spełnione są określone warunki.

Trzy idee pomagają to skonkretyzować:

  • Wyłącznie zautomatyzowane: Brak rzeczywistego udziału człowieka. Osoba, która jedynie zatwierdza wynik algorytmu bez możliwości lub uprawnienia do jego zmiany, może nie być uznana za istotny nadzór.
  • Istotny skutek: Wynik ma znaczenie. Utrata dostępu do konta, które zapewnia dochód, jest wyraźnym przykładem wpływu, na jakim zależy regulatorom.
  • Zabezpieczenia: Tam, gdzie zautomatyzowane decyzje są dozwolone, ludzie zasadniczo potrzebują sposobów na uzyskanie interwencji człowieka, wyrażenie swojego stanowiska i zakwestionowanie wyniku.

Sprawa pokazuje, że regulatorzy są gotowi egzekwować te ograniczenia wobec dużej platformy i wiązać z nimi bardzo wysoką karę.

Kogo dotyczy to poza kierowcami Ubera

Rozstrzygnięcie dotyczy kierowców Ubera, ale zasada sięga znacznie dalej. Zautomatyzowane systemy już wpływają na decyzje dotyczące:

  • Pracowników gigowych i platformowych, w tym zawieszeń kont i wynagrodzenia.
  • Kandydatów do pracy ocenianych przez zautomatyzowane narzędzia.
  • Klientów dotkniętych automatycznymi oznaczeniami oszustw, zamknięciami kont lub skutkami związanymi z kredytem.
  • Użytkowników każdej usługi, w której algorytm może ograniczyć dostęp do konta.

Materiał źródłowy nie mówi, jak decyzja będzie stosowana wobec innych firm, więc błędem byłoby wyolbrzymianie jej zasięgu. Niemniej jednak każda organizacja, która polega na zautomatyzowanym podejmowaniu decyzji w UE, ma teraz głośny powód, by sprawdzić, czy istnieje rzeczywisty nadzór człowieka i czy osoby dotknięte skutkami mogą kwestionować wyniki.

Co VPN robi, a czego nie robi wobec profilowania algorytmicznego

VPN szyfruje ruch między twoim urządzeniem a serwerem VPN i ukrywa twój adres IP przed odwiedzanymi stronami. Jest to przydatne dla prywatności w sieciach publicznych i dla ograniczenia niektórych śledzeń opartych na lokalizacji.

Nie powstrzymuje jednak profilowania algorytmicznego przez usługę, w której jesteś zalogowany. Jeśli jeździsz dla platformy, robisz zakupy na koncie lub aplikujesz o pracę przez portal, firma już posiada dane, które jej przekazałeś, oraz dane wygenerowane przez twoją aktywność. Zautomatyzowany system wykorzystujący te dane do podejmowania decyzji na twój temat nie jest objęty tym, czy twoje połączenie przechodzi przez VPN.

Krótko mówiąc, VPN to narzędzie do prywatności sieciowej. Ochrona przed nieprzejrzystymi zautomatyzowanymi decyzjami wynika z praw i regulatorów, co dokładnie ilustruje ta sprawa.

Co to oznacza dla ciebie

Jeśli mieszkasz w UE lub masz do czynienia z firmami regulowanymi przez UE, twoje prawa z RODO są praktycznym narzędziem:

  • Zadawaj pytania. Możesz zażądać informacji o danych osobowych, które firma posiada na twój temat, oraz o tym, jak są wykorzystywane w decyzjach.
  • Poproś o weryfikację przez człowieka. Jeśli zautomatyzowana decyzja istotnie na ciebie wpływa, zapytaj, czy zweryfikowała ją osoba, a jeśli nie — poproś o taką weryfikację.
  • Prowadź dokumentację. Zapisuj powiadomienia, e-maile i zrzuty ekranu dotyczące zawieszeń lub odrzuceń.
  • Wiedz, gdzie złożyć skargę. Organy ochrony danych przyjmują skargi, co jest sposobem, w jaki mogą zaczynać się sprawy takie jak ta.

Poza UE ochrona jest różna, ale sprawa pokazuje kierunek, w którym zmierzają regulatorzy.

Najważniejsze wnioski

Grzywna dla Ubera za zautomatyzowane decyzje RODO pokazuje, że ograniczenia dotyczące podejmowania decyzji algorytmicznych są egzekwowane, a nie tylko zapisane. Zrozum swoje prawa dotyczące zautomatyzowanych decyzji, korzystaj z nich, gdy system wpływa na twoje dochody lub dostęp do usług, i traktuj VPN jako jedną warstwę prywatności sieciowej, a nie rozwiązanie problemu profilowania. Pełne szczegóły rozstrzygnięcia znajdziesz w naszym istniejącym raporcie o grzywnie holenderskiego DPA dla Ubera.