Нидерландский регулятор оштрафовал Uber на $966 млн за нарушение GDPR

Рекордный штраф за алгоритмические увольнения

Управление по защите данных Нидерландов (AP) приняло решение оштрафовать Uber на €825 миллионов, что составляет примерно $966 миллионов, согласно документу, изученному Reuters. Штраф связан с практикой Uber по деактивации аккаунтов водителей с помощью автоматизированных систем — процесс, который, по мнению регуляторов, нарушил европейские правила защиты данных. Отчет Reuters, основанный на внутренней документации, знаменует один из крупнейших известных штрафов, наложенных в соответствии с Общим регламентом ЕС по защите данных (GDPR), и привлекает внимание к штрафу за автоматизированные решения в рамках GDPR беспрецедентного масштаба.

В центре дела — знакомая жалоба работников гиг-экономики: водители, чьи аккаунты были приостановлены или прекращены с небольшими пояснениями, как казалось, по инициативе алгоритма, а не человека. Когда чей-то заработок зависит от приложения, автоматическая деактивация может ощущаться не как деловое решение, а как исчезновение в системе, которую никто не может оспорить.

Как Статья 22 GDPR ограничивает автоматизированные решения

GDPR включает конкретные меры защиты от решений, принимаемых «исключительно на основе автоматизированной обработки», когда такие решения порождают юридические последствия или аналогичным образом существенно влияют на человека. Потеря доступа к платформе, которая обеспечивает доход, явно подпадает под категорию значительных последствий. В рамках этой системы компаниям, как правило, требуется законное основание для полагания на полностью автоматизированные решения, и они должны предоставить затронутым лицам возможность получить пересмотр решения человеком, выразить свою точку зрения и оспорить результат.

Это правило существует потому, что автоматизированные системы могут быть непрозрачными. Водитель, отключенный алгоритмом, часто не имеет четкого пути для понимания того, почему это произошло, какие данные стали причиной или как подать апелляцию. Регуляторы все чаще рассматривают такую непрозрачность как самостоятельную проблему, а не просто побочный эффект эффективной деловой практики. Решение нидерландского AP в отношении Uber показывает, что когда компания автоматизирует решения высокой важности относительно аккаунтов или доходов людей без адекватной прозрачности и контроля со стороны человека, финансовые последствия могут быть суровыми.

Почему это важно не только для такси-сервисов

Может показаться соблазнительным рассматривать эту историю как специфичную для гиг-работы, но основная проблема выходит далеко за пределы приложений для заказа поездок. Любая платформа, использующая автоматизированные системы для принятия решений о пользователях — будь то маркировка аккаунтов за мошенничество, отказ в выдаче кредитов, корректировка страховых премий или фильтрация кандидатов на работу — сталкивается с одним и тем же базовым требованием: люди, затронутые такими решениями, имеют права, включая право знать, что решение было автоматизированным, и право оспорить его.

Масштаб этого штрафа посылает сигнал компаниям далеко за пределами транспортного сектора. По мере того как все больше сервисов полагаются на алгоритмы для управления всем — от безопасности аккаунтов до соответствия требованиям клиентов, — регуляторы, судя по всему, готовы обеспечивать соблюдение идеи о том, что автоматизация не снимает ответственности. Если что, она повышает планку, потому что систему-«черный ящик», которая не может объяснить себя, сложнее защищать, чем человеческое решение, которое по крайней мере может сформулировать свои обоснования.

Что это значит для вас

Если вам когда-либо приостанавливали аккаунт в приложении, отклоняли заявку на кредит или ограничивали услугу с расплывчатым автоматическим уведомлением, этот случай напоминает, что у вас может быть больше возможностей для защиты, чем предполагает интерфейс. В соответствии с GDPR лица в ЕС (а часто и те, чьи данные обрабатываются компаниями, базирующимися в ЕС или обслуживающими ЕС) могут узнать, было ли решение, затрагивающее их, автоматизированным, запросить пересмотр человеком и оспорить результат. Даже за пределами ЕС давление, создаваемое подобными решениями, как правило, подталкивает компании к более четким политикам и улучшенным процессам апелляции по всему миру, поскольку поддержание отдельных систем для разных регионов часто дороже, чем повышение стандартов везде.

Это также хороший момент, чтобы задуматься о более широком следе ваших персональных данных. Каждое приложение, которое профилирует ваше поведение — будь то для одобрения поездки, выдачи кредита или персонализации рекламы — принимает решения на основе данных, которые вы предоставили, часто без полного понимания того, как эти данные взвешиваются.

Выводы для читателей

Если вы полагаетесь на гиг-платформы, финансовые приложения или любые сервисы, использующие автоматизированные решения об аккаунтах, рассмотрите несколько конкретных шагов. Изучите политики конфиденциальности и условия обслуживания приложений, которыми вы регулярно пользуетесь, чтобы узнать, раскрывают ли они автоматизированное принятие решений. Если вас когда-либо деактивируют, отклонят или пометят алгоритмом, напрямую попросите компанию о пересмотре решения человеком, поскольку GDPR и аналогичные законы в других юрисдикциях все чаще требуют такой возможности. И сохраняйте бдительность в отношении того, сколько личных данных вы передаете приложениям, которые принимают важные решения, потому что рекордный штраф за автоматизированные решения в рамках GDPR, подобный этому, показывает, что регуляторы внимательно следят, даже если отдельным пользователям часто не предоставляют полную картину.