Uber грозит штраф в размере €825 млн по GDPR, связанный с практикой, которая, вероятно, знакома любому, кто когда-либо был заблокирован в аккаунте без объяснений: автоматическое отстранение водителей на основе алгоритмических решений, без участия человека в рассмотрении дела. Это наказание — один из крупнейших штрафов за нарушение конфиденциальности за последнее время, и оно проливает свет на право, о существовании которого большинство пользователей интернета даже не подозревают: право не подвергаться исключительно автоматизированным решениям, которые влекут за собой реальные последствия.

Что сделал Uber: алгоритмические отстранения без участия человека

В центре этого дела — система Uber по деактивации водителей. По словам регуляторов, водители могли быть отстранены и, по сути, лишены дохода, полностью на основе автоматизированных оценок их активности, сигналов мошенничества, рейтингов или других данных, без участия человека, который подтвердил бы, что решение было справедливым или даже точным. Для работника гиг-экономики отстранение — это не мелкое неудобство. Это может означать немедленную потерю средств к существованию, часто без четкого объяснения причин или порядка обжалования.

Это не история об одном единственном алгоритме, совершившем ошибку. Это история о структурном выборе: создании системы, в которой машины принимают важные решения, а участие человека необязательно. Это различие имеет огромное значение в соответствии с европейским законодательством о конфиденциальности, и именно поэтому штраф достиг сотен миллионов евро, а не ограничился предупредительным письмом. Читатели, желающие получить полную историю регуляторных разбирательств, включая то, как был рассчитан штраф и что обнаружил нидерландский надзорный орган, могут ознакомиться с первоначальным штрафом нидерландского регулятора в отношении Uber по GDPR для получения более подробной информации по делу.

Как Статья 22 GDPR защищает от автоматизированных решений

Правовая основа этого штрафа лежит в Статье 22 GDPR — положении, которое дает лицам право не подвергаться решению, основанному исключительно на автоматизированной обработке, если такое решение порождает правовые последствия или аналогичным образом существенно затрагивает их. Потеря доступа к основному источнику дохода явно подпадает под это определение.

Это правило не запрещает автоматизацию как таковую. Компании могут использовать алгоритмы для выявления проблем, оценки рисков или сортировки дел. Что требует GDPR, так это то, чтобы, когда решение имеет серьезные последствия, человек должен быть содержательно вовлечен — кто-то, обладающий полномочиями и информацией, чтобы действительно отменить решение машины, а не просто поставить штамп на ее выводе. Регуляторы все чаще рассматривают «человек нажал кнопку одобрения» как недостаточное, если этот человек никогда не имел реальной возможности проверить или отменить результат. Дело Uber показывает, что именно этот разрыв — между наличием человека в процессе на бумаге и на практике — является тем, где компании попадают в беду.

За пределами гиг-экономики: теневые баны, блокировки аккаунтов и запросы на удаление данных

Хотя этот штраф касается компании по перевозкам, основная проблема выходит далеко за пределы гиг-экономики. Социальные платформы используют автоматизированные системы для теневых банов аккаунтов или удаления контента. Банки и платежные процессоры используют алгоритмы для заморозки счетов из-за подозрений в мошенничестве. Стриминговые сервисы и маркетплейсы автоматически блокируют пользователей за отмеченное поведение. Даже запросы на удаление данных и доступ к ним — ключевые права GDPR — часто обрабатываются автоматизированными системами, которые могут молча отклонить законный запрос без какого-либо участия человека.

В каждом из этих сценариев действует одно и то же противоречие: удобство и масштаб для компании против должной процедуры и прозрачности для человека. Большинство пользователей никогда не задумываются о том, рассматривал ли человек решение, которое их затронуло, в основном потому, что платформы редко раскрывают эту информацию. Штраф Uber сигнализирует о том, что регуляторы начинают рассматривать эту непрозрачность как комплаенс-риск, а не просто как раздражающий фактор для клиентов.

Что это значит для вас

Если вас когда-либо отстраняли, блокировали или отклоняли ваш запрос в приложении или на платформе без четкого объяснения, есть большая вероятность, что это решение принял алгоритм с минимальным контролем человека или вовсе без него. В соответствии с GDPR, если вы находитесь в ЕС или ваши данные обрабатываются компанией, работающей там, вы обычно имеете право запросить объяснение автоматизированных решений, которые существенно вас затрагивают, оспорить решение и потребовать содержательного пересмотра с участием человека. Компании, работающие в этой сфере, по закону обязаны встроить этот предохранительный клапан, даже если он не очевидно рекламируется.

Этот случай также поднимает практический вопрос о том, насколько осторожно стоит относиться к тому, сколько контроля вы передаете платформам, которые сильно полагаются на автоматизированные меры принуждения. Понимание ваших прав в отношении автоматизированных решений по GDPR — это не просто абстрактная юридическая концепция, это инструмент, который вы можете реально использовать, когда приложение блокирует вас или алгоритм помечает ваш аккаунт.

Ключевые выводы

Если вы оказались по ту сторону автоматизированного отстранения, блокировки или отказа, стоит предпринять действия, а не предполагать, что решение окончательно. Запросите письменное объяснение того, как было принято решение и рассматривал ли его человек. Явно ссылайтесь на свои права по GDPR, если компания подпадает под законодательство ЕС, и подайте жалобу в соответствующий орган по защите данных, если не получите удовлетворительного ответа. Сохраняйте записи ваших коммуникаций с платформой, поскольку документально подтвержденная картина автоматических решений без пересмотра человеком — это именно тот тип доказательств, который привел к штрафу Uber в размере €825 млн. По мере того как все большая часть повседневной жизни проходит через алгоритмы, знание этих прав и их использование — один из самых очевидных способов дать отпор, когда машина ошибается.