Uber får GDPR-böter på 825 miljoner euro för data om förare

Vad Uber gjorde fel enligt GDPR

Den nederländska dataskyddsmyndigheten (Autoriteit Persoonsgegevens) har bötfällt Uber med 825 miljoner euro, cirka 966 miljoner dollar, vilket gör det till ett av de största bötesbeloppen någonsin enligt den allmänna dataskyddsförordningen (GDPR). Böterna rör Ubers användning av automatiserade system för att stänga av eller avaktivera förarkonton. Enligt GDPR har individer rätt att förstå hur automatiserade beslut som påverkar dem fattas och att ifrågasätta dessa beslut med en mänsklig granskare. Regulatorerna fann att Ubers process för att stänga av förare, ibland med betydande ekonomiska konsekvenser, inte gav berörda förare tillräcklig transparens eller ett meningsfullt sätt att överklaga resultatet.

Detta är inte Ubers första sammandrabbning med nederländska regulatorer. 2024 bötfällde samma myndighet Uber med 290 miljoner euro för att ha överfört personuppgifter om EU-baserade förare till servrar i USA utan tillräckliga skyddsåtgärder. Det fallet rörde standardavtalsklausuler, den rättsliga mekanism som företag använder för att motivera överföring av europeisk data utomlands. Uber rapporteras ha slutat använda dessa klausuler efter augusti 2021, vilket lämnade förardata otillräckligt skyddad vid internationella överföringar. Tillsammans målar de två bötesbeloppen upp en bild av ett företag som gång på gång har kämpat med att anpassa sina interna datapraxis till GDPR:s kärnkrav kring transparens, samtycke och gränsöverskridande överföringar.

Hur GDPR-tillämpning faktiskt fungerar

GDPR tillämpas av nationella dataskyddsmyndigheter i varje EU-medlemsstat, inte av en enda centraliserad europeisk regulator. Eftersom Ubers europeiska verksamhet har sitt huvudkontor i Nederländerna tog den nederländska myndigheten ledningen i detta fall, liknande hur Irlands dataskyddskommission hanterade ett separat bötesbelopp på 1,2 miljarder euro mot Meta 2023 för integritetsbrott kopplade till dataöverföringar, ett bötesbelopp som Meta har överklagat.

Denna struktur innebär att vilken myndighet som övervakar ett företag beror på var företagets huvudsakliga EU-etablering är belägen, och verkställighetsåtgärder kan ta år att slutföra. Regulatorer utreder klagomål, begär dokumentation och utfärdar böter som företag ofta överklagar, vilket förlänger processen ytterligare. För läsare som försöker förstå hur dessa utredningar går till och vilka befogenheter regulatorer faktiskt har, erbjuder CNIL-förklaringen en användbar inblick i hur en av Europas mest aktiva dataskyddsmyndigheter arbetar, eftersom samma grundläggande tillämpningsprinciper gäller i alla EU-medlemsstater, inklusive Nederländerna.

Vad detta innebär för dina personuppgifter

Omfattningen av Ubers böter, som nu uppgår till över 1,1 miljarder euro totalt över två verkställighetsåtgärder, återspeglar hur allvarligt EU-regulatorer behandlar överträdelser av automatiserat beslutsfattande och dataöverföringar. Men storleken på ett bötesbelopp ångrar inte påverkan på de personer vars data hanterades felaktigt från första början. Förare som fick sina konton automatiskt avstängda utan tydlig förklaring eller möjlighet att överklaga upplevde verklig ekonomisk skada, och inget bötesbelopp som betalas till en regulator kompenserar dem direkt för det.

Detta fall är en påminnelse om att GDPR finns eftersom företag, även stora och välbeställda sådana, inte alltid hanterar data korrekt på egen hand. Automatiserade system kan fatta konsekvensfyllda beslut om människors försörjning med lite transparens om inte regulatorer kliver in. Om ett så framträdande företag som Uber kan dra på sig hundratals miljoner i böter för dessa metoder, är det en signal om att användare inte bör anta att någon plattform automatiskt respekterar deras datarättigheter bara för att den verkar inom EU.

Steg användare kan ta för att begränsa exponering

Medan regulatorer sköter verkställigheten kan individer fortfarande vidta praktiska åtgärder. Gå igenom integritetsinställningarna och databehörigheterna för appar du använder regelbundet, inklusive samåknings- och gig-plattformar, och begränsa vilken data du delar när det är möjligt. Om du anser att ett automatiserat beslut har påverkat dig orättvist ger GDPR dig rätt att begära mänsklig granskning och att be ett företag förklara logiken bakom beslutet. Du kan också lämna in ett klagomål direkt till din nationella dataskyddsmyndighet om ett företag inte svarar.

Att hålla personuppgifter minimala där du kan, använda stark kontosäkerhet och hålla dig informerad om hur plattformar hanterar gränsöverskridande dataöverföringar minskar alla din exponering för de typer av problem som ledde till Ubers böter.

Den större bilden

Ubers böter på 825 miljoner euro för förardata understryker en bredare sanning om GDPR-bötesverkställighet: integritetsskydd fungerar bara när regulatorer aktivt håller företag ansvariga, och användare gynnas av att förstå dessa skydd själva snarare än att anta att företags välvilja ska fylla gapet. I takt med att fler automatiserade system format vardagliga beslut, från kontostängningar till tjänsteberättigande, är att hålla sig informerad om dina rättigheter enligt GDPR ett av de mest effektiva verktyg du har. Ta dig tid att gå igenom hur plattformarna du förlitar dig på hanterar din data, och tveka inte att utöva din rätt att ifrågasätta automatiserade beslut som påverkar dig direkt.