Nederländsk myndighet bötfäller Uber med 966 miljoner dollar för GDPR-överträdelse

Rekordböter för algoritmiska avstängningar

Den nederländska dataskyddsmyndigheten (AP) har beslutat att bötfälla Uber med 825 miljoner euro, cirka 966 miljoner dollar, enligt ett dokument som Reuters har granskat. Böterna beror på Ubers praxis att avaktivera förares konton genom automatiserade system, en process som myndigheterna menar strider mot europeiska dataskyddsregler. Reuters rapport, baserad på intern dokumentation, är en av de största kända böterna som utfärdats enligt EU:s allmänna dataskyddsförordning (GDPR) och sätter fokus på ett GDPR-bötesbelopp för automatiserat beslutsfattande av aldrig tidigare skådad omfattning.

I centrum av fallet finns ett välbekant klagomål från gigekonomins arbetare: förare vars konton stängts av eller sagts upp utan större förklaring, till synes utlöst av en algoritm snarare än en mänsklig granskare. När en persons försörjning beror på en app kan en automatisk avaktivering kännas mindre som ett affärsbeslut och mer som att bli raderad av ett system som ingen kan ifrågasätta.

Hur GDPR:s artikel 22 begränsar automatiserade beslut

GDPR innehåller specifika skydd mot beslut som fattas "enbart genom automatiserad behandling" när dessa beslut har rättsliga effekter eller på liknande sätt betydande påverkan på en person. Att förlora tillgången till en plattform som ger en inkomst uppfyller tydligt kravet på betydande påverkan. Inom denna ram behöver företag i allmänhet en laglig grund för att förlita sig på helt automatiserat beslutsfattande, och de måste ge berörda personer ett sätt att få mänsklig granskning, uttrycka sin synpunkt och överklaga beslutet.

Regeln finns eftersom automatiserade system kan vara ogenomskinliga. En förare som avaktiveras av en algoritm har ofta ingen tydlig väg att förstå varför det hände, vilken data som utlöste det eller hur man överklagar. Myndigheter har i allt högre grad behandlat denna ogenomskinlighet som ett problem i sig, inte bara en bieffekt av effektiv affärsverksamhet. Det nederländska AP:s beslut mot Uber visar att när ett företag automatiserar högriskbeslut om människors konton eller inkomster utan tillräcklig transparens och mänsklig tillsyn, kan de ekonomiska konsekvenserna bli allvarliga.

Varför detta är viktigt bortom samåkningstjänster

Det är frestande att läsa detta som en historia specifik för gigarbete, men den underliggande frågan sträcker sig långt bortom samåkningsappar. Alla plattformar som använder automatiserade system för att fatta beslut om användare – oavsett om det handlar om att flagga konton för bedrägeri, avslå låneansökningar, justera försäkringspremier eller filtrera jobbkandidater – står inför samma grundläggande krav: personer som berörs av dessa beslut har rättigheter, inklusive rätten att veta att ett beslut var automatiserat och rätten att ifrågasätta det.

Omfattningen av dessa böter skickar en signal till företag långt utanför transportsektorn. I takt med att fler tjänster förlitar sig på algoritmer för att hantera allt från kontosäkerhet till kundbehörighet, verkar myndigheterna vara villiga att upprätthålla principen att automatisering inte tar bort ansvarsskyldighet. Om något höjer det ribban, eftersom ett svart låda-system som inte kan förklara sig är svårare att försvara än en mänsklig beslutsfattare som åtminstone kan formulera sitt resonemang.

Vad detta betyder för dig

Om du någonsin har fått ett appkonto avstängt, en låneansökan avslagen eller en tjänst begränsad med ett vagt automatiskt meddelande, är detta fall en påminnelse om att du kan ha fler möjligheter än gränssnittet antyder. Enligt GDPR kan personer i EU (och ofta de vars uppgifter behandlas av företag baserade i EU eller som betjänar EU) fråga om ett beslut som påverkar dem var automatiserat, begära mänsklig granskning och överklaga utgången. Även utanför EU tenderar trycket som skapas av sådana här avgöranden att driva företag mot tydligare policyer och bättre överklagandeprocesser globalt, eftersom att underhålla separata system för olika regioner ofta är dyrare än att höja standarderna överallt.

Detta är också ett bra tillfälle att tänka på det bredare avtrycket av dina personuppgifter. Varje app som profilerar ditt beteende – oavsett om det är för att godkänna en resa, bevilja kredit eller anpassa en annons – fattar beslut baserade på data som du har tillhandahållit, ofta utan full insyn i hur den datan viktas.

Lärdomar för läsare

Om du förlitar dig på gigplattformar, finansiella appar eller någon tjänst som använder automatiserade kontobeslut, överväg några konkreta steg. Gå igenom integritetspolicyer och användarvillkor för appar du använder regelbundet för att se om de avslöjar automatiserat beslutsfattande. Om du någonsin blir avaktiverad, nekad eller flaggad av en algoritm, be företaget direkt om en mänsklig granskning, eftersom GDPR och liknande lagar i andra jurisdiktioner i allt högre grad kräver detta alternativ. Och var uppmärksam på hur mycket personuppgifter du lämnar till appar som fattar konsekvensrika beslut, eftersom ett rekordstort GDPR-bötesbelopp för automatiserat beslutsfattande som detta visar att myndigheterna följer utvecklingen noga, även om enskilda användare ofta inte får hela bilden.