Nederländska myndigheten slår till mot Uber med rekordstor sanktionsavgift

Den 21 augusti 2026 meddelade den nederländska dataskyddsmyndigheten (Autoriteit Persoonsgegevens) att man bötfäller Uber Technologies Inc. med 825 miljoner euro, cirka 966 miljoner dollar, för överträdelser av Europas allmänna dataskyddsförordning (GDPR). Uber-boten för GDPR fokuserar på företagets användning av automatiserade system för att stänga av och avaktivera förarkonton utan att ge dessa förare korrekt underrättelse eller en meningsfull möjlighet att överklaga beslutet.

Sanktionsavgiften hör till de största GDPR-åtgärderna som någonsin utfärdats och läggs till en växande lista av böter som Uber fått från samma myndighet. 2024 bötfällde den nederländska dataskyddsmyndigheten Uber med 290 miljoner euro för otillbörlig dataöverföring till USA, sedan man funnit att företaget inte uppfyllt GDPR:s stränga krav för att flytta personuppgifter utanför det europeiska ekonomiska samarbetsområdet. Denna senaste, betydligt större böter antyder att nederländska tillsynsmyndigheter ser ett mönster snarare än en isolerad brisfällighet i regelefterlevnaden.

Varför automatiserat beslutsfattande granskas

GDPR ger individer specifika skydd när företag använder automatiserade system för att fatta beslut som påverkar dem avsevärt, inklusive rätten att få en förklaring och rätten att begära mänsklig granskning. Att avaktivera en förares konto och därmed skära av deras inkomst, utan transparent underrättelse eller en överklagandeprocess, är precis den typ av automatiserat beslut som förordningen utformats för att begränsa.

För ett företag som Uber, vars affärsmodell i hög grad är beroende av algoritmisk styrning av sin förarstyrka, skapar detta en strukturell spänning. Automatiserade system är effektiva för att flagga bedrägerier, säkerhetsöverträdelser eller policybrott i stor skala, men GDPR kräver att denna effektivitet inte sker på bekostnad av en persons rätt att förstå och ifrågasätta beslut som fattas om dem. När tillsynsmyndigheter finner att underrättelse- och överklagandemekanismer varit otillräckliga eller obefintliga kan böterna bli stränga, just eftersom överträdelsen rör ett kärnskydd snarare än ett tekniskt administrativt misslyckande.

Del av ett bredare mönster av dataansvar

Denna böter existerar inte i ett vakuum. Tillsynsmyndigheter och domstolar inom olika sektorer blir alltmer villiga att utdöma betydande sanktionsavgifter när företag misslyckas med att skydda hur personuppgifter samlas in, behandlas eller används för att fatta beslut av stor betydelse. Inom utbildningssektorn visade exempelvis PowerSchool-uppgörelsen på 17,25 miljoner dollar om Naviance-spårning av studenter hur tyst insamlade data, i det fallet studentaktivitet, kan utlösa stora juridiska risker när de väl kommer fram i ljuset. Brister i dataskyddet är inte begränsade till avsiktlig misskötsel heller; incidenter som Iliad Italias kunddata till salu på dark web visar hur personuppgifter kan exponeras genom intrång snarare än företagspolicy, men ändå lämna företag med både regulatoriska och ryktesmässiga konsekvenser.

Sammantaget pekar dessa fall på ett genomgående tema: organisationer som behandlar personuppgifter, eller automatiserade beslut baserade på dessa uppgifter, som en lågprioriterad regelefterlevnadsfråga hamnar allt oftare på fel sida av böter på åtta- och niotillgångar i siffror.

Vad detta innebär för dig

Om du kör för Uber eller en liknande plattform är detta fall en påminnelse om att du har rättigheter enligt GDPR (om du befinner dig i EU) när det gäller beslut som fattas om ditt konto av automatiserade system. Du har i allmänhet rätt att veta varför ett automatiserat beslut fattades och att begära att en människa granskar det, inte bara en algoritm.

För vanliga användare av samåkningsappar och andra plattformar som i hög grad förlitar sig på datadriven kontohantering understryker denna böter också hur mycket av din relation med dessa företag som sker genom automatiserade system du aldrig ser direkt. Det är värt att regelbundet gå igenom vilka behörigheter och dataåtkomster du beviljat appbaserade tjänster, och att förstå att en stor böter som denna är ett tecken på att tillsynsmyndigheter aktivt övervakar hur dessa system används, inte ett bevis på att de underliggande metoderna redan har ändrats.

Konkreta åtgärder att ta med sig

  • Om du är gig-ekonomiarbetare inom EU: kom ihåg att GDPR ger dig rätt till en förklaring och mänsklig granskning när ett automatiserat system fattar ett beslut av betydelse om ditt konto eller din inkomst.
  • Spara dokumentation av eventuell kontostängning, avaktiveringsmeddelande eller överklagandekorrespondens du får från en plattform; denna dokumentation är viktig om du någonsin behöver bestrida ett beslut.
  • Gå igenom sekretessinställningar och databehörigheter du beviljat gig-, leverans- eller samåkningsappar och återkalla åtkomst du inte längre behöver.
  • Följ regulatoriska uppdateringar om detta fall, eftersom GDPR-böter av denna storlek ofta överklagas och kan ta år att slutgiltigt avgöra, vilket kan påverka hur plattformar agerar framöver.

Uber-boten för GDPR är en betydande markering i Europas pågående arbete för att hålla stora teknikplattformar ansvariga för hur automatiserade system påverkar verkliga människors försörjning. Om den förändrar Ubers metoder omedelbart återstår att se, men den lägger reell ekonomisk tyngd bakom argumentet att dataskyddsrättigheter gäller i lika hög grad för algoritmiska beslut som för traditionell datahantering.