Uber ukarany grzywną w wysokości 825 mln euro za dane kierowców

Co Uber zrobił źle na mocy RODO

Holenderski organ ochrony danych osobowych (Autoriteit Persoonsgegevens) nałożył na Ubera grzywnę w wysokości 825 mln euro, czyli około 966 mln dolarów, co czyni ją jedną z największych kar nałożonych kiedykolwiek na mocy ogólnego rozporządzenia o ochronie danych. Grzywna dotyczy stosowania przez Ubera zautomatyzowanych systemów do zawieszania lub dezaktywacji kont kierowców. Na mocy RODO każda osoba ma prawo do zrozumienia, w jaki sposób podejmowane są automatyczne decyzje jej dotyczące, oraz do zakwestionowania tych decyzji z udziałem człowieka dokonującego ich przeglądu. Regulatorzy stwierdzili, że proces Ubera polegający na odcinaniu kierowców, niekiedy z poważnymi konsekwencjami finansowymi, nie zapewniał dotkniętym nim kierowcom odpowiedniej przejrzystości ani realnej możliwości odwołania się od tych decyzji.

To nie pierwszy raz, kiedy Uber ma zatargi z holenderskim regulatorem. W 2024 roku ten sam organ nałożył na Ubera grzywnę w wysokości 290 mln euro za przekazywanie danych osobowych kierowców z UE na serwery w Stanach Zjednoczonych bez odpowiednich zabezpieczeń. Sprawa ta dotyczyła standardowych klauzul umownych, czyli mechanizmu prawnego, z którego korzystają firmy, aby uzasadnić przekazywanie danych europejskich za granicę. Jak podaje się, Uber zaprzestał stosowania tych klauzul po sierpniu 2021 roku, pozostawiając dane kierowców niedostatecznie chronione podczas transferów międzynarodowych. Łącznie obie kary tworzą obraz firmy, która wielokrotnie miała trudności z dostosowaniem swoich wewnętrznych praktyk dotyczących danych do podstawowych wymogów RODO w zakresie przejrzystości, zgody i transferów transgranicznych.

Jak faktycznie działa egzekwowanie RODO

RODO jest egzekwowane przez krajowe organy ochrony danych w każdym państwie członkowskim UE, a nie przez jeden scentralizowany europejski regulator. Ponieważ europejska działalność Ubera ma siedzibę główną w Holandii, holenderski organ prowadził tę sprawę, podobnie jak irlandzka Komisja Ochrony Danych zajmowała się odrębną grzywną w wysokości 1,2 mld euro nałożoną na Metę w 2023 roku za naruszenia prywatności związane z transferami danych, którą Meta zaskarżyła.

Ta struktura oznacza, że organ nadzorujący daną firmę zależy od tego, gdzie znajduje się jej główne miejsce prowadzenia działalności w UE, a postępowania egzekucyjne mogą trwać latami. Regulatorzy badają skargi, żądają dokumentacji i nakładają grzywny, które firmy często zaskarżają, co dodatkowo wydłuża cały proces. Dla czytelników próbujących zrozumieć, jak przebiegają te postępowania i jakie uprawnienia faktycznie mają regulatorzy, objaśnienie CNIL stanowi użyteczne źródło informacji o tym, jak działa jeden z najbardziej aktywnych organów ochrony danych w Europie, ponieważ te same podstawowe zasady egzekwowania obowiązują we wszystkich państwach członkowskich UE, w tym w Holandii.

Co to oznacza dla Twoich danych osobowych

Skala grzywny nałożonej na Ubera, której łączna wysokość w dwóch postępowaniach egzekucyjnych przekracza obecnie 1,1 mld euro, pokazuje, jak poważnie unijni regulatorzy traktują naruszenia dotyczące zautomatyzowanego podejmowania decyzji i transferów danych. Jednak wysokość grzywny nie niweluje wpływu na osoby, których dane zostały w pierwszej kolejności źle przetworzone. Kierowcy, których konta zostały automatycznie zawieszone bez jasnego wyjaśnienia ani możliwości odwołania się, ponieśli realną szkodę finansową, a żadna kara zapłacona regulatorowi nie rekompensuje im tego bezpośrednio.

Ta sprawa przypomina, że RODO istnieje, ponieważ firmy, nawet te duże i dobrze prosperujące, nie zawsze same prawidłowo radzą sobie z danymi. Systemy zautomatyzowane mogą podejmować decyzje o poważnych konsekwencjach dla czyjegoś źródła utrzymania przy niewielkiej przejrzystości, chyba że interweniują regulatorzy. Jeśli firma tak znana jak Uber może uzbierać setki milionów kar za takie praktyki, to sygnał, że użytkownicy nie powinni zakładać, że każda platforma automatycznie respektuje ich prawa do danych tylko dlatego, że działa w UE.

Kroki, które użytkownicy mogą podjąć, aby ograniczyć ryzyko

Podczas gdy regulatorzy zajmują się egzekwowaniem przepisów, osoby prywatne nadal mogą podjąć praktyczne kroki. Przejrzyj ustawienia prywatności i uprawnienia do danych w aplikacjach, z których regularnie korzystasz, w tym na platformach przewozowych i gig-ekonomii, i w miarę możliwości ogranicz udostępniane dane. Jeśli uważasz, że automatyczna decyzja wpłynęła na Ciebie w sposób nieuczciwy, RODO daje Ci prawo do wystąpienia o przegląd decyzji przez człowieka oraz do żądania od firmy wyjaśnienia logiki stojącej za tą decyzją. Możesz również złożyć skargę bezpośrednio do swojego krajowego organu ochrony danych, jeśli firma nie reaguje.

Utrzymywanie minimalnego zakresu danych osobowych tam, gdzie to możliwe, stosowanie silnych zabezpieczeń konta oraz bycie na bieżąco z tym, jak platformy obsługują transgraniczne transfery danych – wszystko to zmniejsza Twoje narażenie na tego rodzaju problemy, które doprowadziły do kar dla Ubera.

Szerszy obraz

Grzywna w wysokości 825 mln euro nałożona na Ubera za dane kierowców podkreśla szerszą prawdę o egzekwowaniu RODO: ochrona prywatności działa tylko wtedy, gdy regulatorzy aktywnie pociągają firmy do odpowiedzialności, a użytkownicy korzystają na tym, że sami rozumieją te zabezpieczenia, zamiast zakładać, że dobra wola korporacji wypełni lukę. W miarę jak coraz więcej systemów zautomatyzowanych kształtuje codzienne decyzje, od zawieszania kont po kryteria kwalifikowalności do usług, bycie na bieżąco ze swoimi prawami wynikającymi z RODO to jedno z najskuteczniejszych narzędzi, jakie masz. Poświęć czas na sprawdzenie, jak platformy, na których polegasz, obsługują Twoje dane, i nie wahaj się skorzystać z prawa do kwestionowania automatycznych decyzji, które bezpośrednio Cię dotyczą.