O Que a Uber Fez de Errado Sob o GDPR

A Autoridade Holandesa de Proteção de Dados (Autoriteit Persoonsgegevens) multou a Uber em €825 milhões, aproximadamente US$966 milhões, tornando esta uma das maiores penalidades já emitidas sob o Regulamento Geral sobre a Proteção de Dados. A multa está centrada no uso, pela Uber, de sistemas automatizados para suspender ou desativar contas de motoristas. Sob o GDPR, os indivíduos têm o direito de entender como decisões automatizadas que os afetam são tomadas e de contestar essas decisões com um revisor humano. Os reguladores descobriram que o processo da Uber para desligar motoristas, às vezes com consequências financeiras significativas, não dava aos motoristas afetados transparência adequada nem uma forma significativa de contestar o resultado.

Esta não é a primeira vez que a Uber tem problemas com os reguladores holandeses. Em 2024, a mesma autoridade multou a Uber em €290 milhões por transferir os dados pessoais de motoristas baseados na UE para servidores nos Estados Unidos sem salvaguardas adequadas. Esse caso envolveu Cláusulas Contratuais Padrão, o mecanismo legal que as empresas usam para justificar a transferência de dados europeus para o exterior. A Uber supostamente deixou de usar essas cláusulas após agosto de 2021, deixando os dados dos motoristas insuficientemente protegidos durante transferências internacionais. Juntas, as duas penalidades pintam um quadro de uma empresa que repetidamente lutou para alinhar suas práticas internas de dados com os requisitos centrais do GDPR em torno de transparência, consentimento e transferências transfronteiriças.

Como a Aplicação do GDPR Realmente Funciona

O GDPR é aplicado pelas autoridades nacionais de proteção de dados em cada estado-membro da UE, não por um regulador europeu centralizado e único. Como as operações europeias da Uber têm sede na Holanda, a autoridade holandesa liderou este caso, semelhante à forma como a Comissão de Proteção de Dados da Irlanda lidou com uma multa separada de €1,2 bilhão contra a Meta em 2023 por violações de privacidade ligadas a transferências de dados, uma penalidade que a Meta recorreu.

Essa estrutura significa que a autoridade que supervisiona uma empresa depende de onde está localizado o principal estabelecimento da empresa na UE, e as ações de aplicação podem levar anos para serem concluídas. Os reguladores investigam reclamações, solicitam documentação e emitem multas que as empresas frequentemente recorrem, estendendo ainda mais o processo. Para leitores que tentam entender como essas investigações se desenrolam e quais poderes os reguladores realmente detêm, o explicador da CNIL oferece uma visão útil de como uma das autoridades de proteção de dados mais ativas da Europa opera, já que os mesmos princípios fundamentais de aplicação se aplicam em todos os estados-membros da UE, incluindo a Holanda.

O Que Isso Significa para Seus Dados Pessoais

A magnitude da multa da Uber, agora totalizando mais de €1,1 bilhão em duas ações de aplicação, reflete o quanto os reguladores da UE levam a sério as violações de tomada de decisão automatizada e transferência de dados. Mas o tamanho de uma multa não desfaz o impacto sobre as pessoas cujos dados foram mal administrados em primeiro lugar. Motoristas que tiveram suas contas suspensas automaticamente sem explicação clara ou recurso sofreram danos financeiros reais, e nenhuma penalidade paga a um regulador os compensa diretamente por isso.

Este caso é um lembrete de que o GDPR existe porque as empresas, mesmo as grandes e bem financiadas, nem sempre acertam no manuseio de dados sozinhas. Sistemas automatizados podem tomar decisões consequentes sobre os meios de subsistência das pessoas com pouca transparência, a menos que os reguladores intervenham. Se uma empresa tão proeminente quanto a Uber pode acumular centenas de milhões em penalidades por essas práticas, é um sinal de que os usuários não devem presumir que qualquer plataforma está respeitando automaticamente seus direitos de dados simplesmente porque opera na UE.

Passos que os Usuários Podem Tomar para Limitar a Exposição

Enquanto os reguladores cuidam da aplicação, os indivíduos ainda têm passos práticos que podem tomar. Revise as configurações de privacidade e permissões de dados em aplicativos que você usa regularmente, incluindo plataformas de transporte compartilhado e gig, e limite quais dados você compartilha quando possível. Se você acredita que uma decisão automatizada o afetou injustamente, o GDPR lhe dá o direito de solicitar revisão humana e de pedir que uma empresa explique a lógica por trás dessa decisão. Você também pode registrar uma reclamação diretamente com sua autoridade nacional de proteção de dados se uma empresa não responder.

Manter os dados pessoais mínimos onde puder, usar segurança de conta forte e manter-se informado sobre como as plataformas lidam com transferências transfronteiriças de dados reduzem sua exposição ao tipo de problema que levou às multas da Uber.

O Panorama Geral

A penalidade de €825 milhões da Uber sobre dados de motoristas ressalta uma verdade mais ampla sobre a aplicação de multas do GDPR: as proteções de privacidade só funcionam quando os reguladores responsabilizam ativamente as empresas, e os usuários se beneficiam de entender essas proteções por si mesmos, em vez de presumir que a boa vontade corporativa preencherá a lacuna. À medida que mais sistemas automatizados moldam decisões cotidianas, de suspensões de contas a elegibilidade de serviços, manter-se informado sobre seus direitos sob o GDPR é uma das ferramentas mais eficazes que você tem. Reserve um tempo para revisar como as plataformas em que você depende lidam com seus dados, e não hesite em exercer seu direito de questionar decisões automatizadas que o afetam diretamente.