อูเบอร์ทำอะไรผิดภายใต้ GDPR

สำนักงานคุ้มครองข้อมูลส่วนบุคคลของเนเธอร์แลนด์ (Autoriteit Persoonsgegevens) ปรับอูเบอร์เป็นจำนวน 825 ล้านยูโร หรือประมาณ 966 ล้านดอลลาร์สหรัฐ ทำให้เป็นหนึ่งในบทลงโทษที่ใหญ่ที่สุดเท่าที่เคยออกภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลทั่วไป (GDPR) ค่าปรับนี้มีศูนย์กลางอยู่ที่การที่อูเบอร์ใช้ระบบอัตโนมัติในการพักใช้หรือปิดใช้งานบัญชีคนขับ ภายใต้ GDPR บุคคลมีสิทธิ์ที่จะเข้าใจว่าการตัดสินใจแบบอัตโนมัติที่ส่งผลกระทบต่อพวกเขานั้นเกิดขึ้นได้อย่างไร และมีสิทธิ์ที่จะโต้แย้งการตัดสินใจเหล่านั้นกับผู้ตรวจสอบที่เป็นมนุษย์ หน่วยงานกำกับดูแลพบว่ากระบวนการของอูเบอร์ในการตัดคนขับออก ซึ่งบางครั้งมีผลกระทบทางการเงินอย่างมีนัยสำคัญ ไม่ได้ให้ความโปร่งใสอย่างเพียงพอแก่คนขับที่ได้รับผลกระทบ หรือไม่มีช่องทางที่มีความหมายในการโต้แย้งผลลัพธ์

นี่ไม่ใช่ครั้งแรกที่อูเบอร์มีปัญหาเรื่องกับหน่วยงานกำกับดูแลของเนเธอร์แลนด์ ในปี 2024 หน่วยงานเดียวกันนี้ปรับอูเบอร์เป็นจำนวน 290 ล้านยูโร ในข้อหาโอนข้อมูลส่วนบุคคลของคนขับที่อยู่ในสหภาพยุโรปไปยังเซิร์ฟเวอร์ในสหรัฐอเมริกาโดยไม่มีมาตรการป้องกันที่เหมาะสม คดีนั้นเกี่ยวข้องกับข้อกำหนดสัญญามาตรฐาน (Standard Contractual Clauses) ซึ่งเป็นกลไกทางกฎหมายที่บริษัทต่างๆ ใช้เพื่อรองรับการย้ายข้อมูลยุโรปไปต่างประเทศ อูเบอร์รายงานว่าได้หยุดใช้ข้อกำหนดเหล่านั้นหลังจากเดือนสิงหาคม 2021 ทำให้ข้อมูลคนขับได้รับการปกป้องไม่เพียงพอระหว่างการโอนข้ามพรมแดน บทลงโทษทั้งสองร่วมกันสะท้อนให้เห็นภาพของบริษัทที่พยายามปรับแนวทางปฏิบัติด้านข้อมูลภายในให้สอดคล้องกับข้อกำหนดหลักของ GDPR ในเรื่องความโปร่งใส ความยินยอม และการโอนข้อมูลข้ามพรมแดนซ้ำแล้วซ้ำเล่าแต่ไม่สำเร็จ

การบังคับใช้ GDPR ทำงานอย่างไรในความเป็นจริง

GDPR ถูกบังคับใช้โดยหน่วยงานคุ้มครองข้อมูลแห่งชาติในแต่ละประเทศสมาชิกสหภาพยุโรป ไม่ใช่โดยหน่วยงานกำกับดูแลกลางเพียงแห่งเดียวของยุโรป เนื่องจากการดำเนินงานในยุโรปของอูเบอร์มีสำนักงานใหญ่ตั้งอยู่ในเนเธอร์แลนด์ หน่วยงานของเนเธอร์แลนด์จึงเป็นผู้นำในคดีนี้ คล้ายกับที่คณะกรรมการคุ้มครองข้อมูลของไอร์แลนด์จัดการกับค่าปรับ 1.2 พันล้านยูโรแยกต่างหากกับ Meta ในปี 2023 ในข้อหาละเมิดความเป็นส่วนตัวที่เกี่ยวข้องกับการโอนข้อมูล ซึ่ง Meta ได้ยื่นอุทธรณ์ค่าปรับดังกล่าวแล้ว

โครงสร้างนี้หมายความว่าหน่วยงานที่กำกับดูแลบริษัทหนึ่งๆ ขึ้นอยู่กับว่าสำนักงานใหญ่หลักในสหภาพยุโรปของบริษัทนั้นตั้งอยู่ที่ใด และการดำเนินการบังคับใช้อาจใช้เวลาหลายปีจึงจะสรุปผลได้ หน่วยงานกำกับดูแลจะสอบสวนข้อร้องเรียน ขอเอกสาร และออกค่าปรับซึ่งบริษัทต่างๆ มักจะอุทธรณ์ ทำให้กระบวนการยืดเยื้อออกไปอีก สำหรับผู้อ่านที่พยายามทำความเข้าใจว่าการสอบสวนเหล่านี้ดำเนินไปอย่างไร และหน่วยงานกำกับดูแลมีอำนาจอะไรบ้างจริงๆ คำอธิบายของ CNIL นำเสนอมุมมองที่เป็นประโยชน์ว่าหน่วยงานคุ้มครองข้อมูลที่กระตือรือร้นที่สุดแห่งหนึ่งของยุโรปดำเนินงานอย่างไร เนื่องจากหลักการบังคับใช้พื้นฐานเดียวกันนี้ใช้กับประเทศสมาชิกสหภาพยุโรปทั้งหมด รวมถึงเนเธอร์แลนด์

สิ่งนี้หมายความว่าอย่างไรสำหรับข้อมูลส่วนบุคคลของคุณ

ขนาดของค่าปรับของอูเบอร์ ซึ่งปัจจุบันรวมแล้วมากกว่า 1.1 พันล้านยูโรจากการดำเนินการบังคับใช้สองครั้ง สะท้อนให้เห็นว่าหน่วยงานกำกับดูแลของสหภาพยุโรปให้ความสำคัญกับการตัดสินใจแบบอัตโนมัติและการละเมิดการโอนข้อมูลอย่างจริงจังเพียงใด แต่ขนาดของค่าปรับไม่ได้ลบล้างผลกระทบต่อผู้ที่ข้อมูลถูกจัดการอย่างไม่ถูกต้องตั้งแต่แรก คนขับที่บัญชีถูกพักใช้โดยอัตโนมัติโดยไม่มีคำอธิบายที่ชัดเจนหรือช่องทางในการเยียวยา ต้องประสบกับความเสียหายทางการเงินอย่างแท้จริง และไม่มีค่าปรับที่จ่ายให้กับหน่วยงานกำกับดูแลใดที่ชดเชยความเสียหายนั้นให้พวกเขาโดยตรง

คดีนี้เป็นเครื่องเตือนใจว่า GDPR มีอยู่เพราะบริษัทต่างๆ แม้แต่บริษัทขนาดใหญ่ที่มีทรัพยากรพร้อม ก็ไม่สามารถจัดการข้อมูลได้อย่างถูกต้องด้วยตัวเองเสมอไป ระบบอัตโนมัติสามารถตัดสินใจที่มีผลกระทบสำคัญต่อการดำรงชีพของผู้คนโดยแทบไม่มีความโปร่งใส เว้นแต่หน่วยงานกำกับดูแลจะเข้ามาแทรกแซง หากบริษัทที่โดดเด่นอย่างอูเบอร์สามารถสะสมค่าปรับหลายร้อยล้านจากแนวทางปฏิบัติเหล่านี้ นี่เป็นสัญญาณว่าผู้ใช้ไม่ควรสมมติว่าแพลตฟอร์มใดๆ จะเคารพสิทธิข้อมูลของตนโดยอัตโนมัติเพียงเพราะแพลตฟอร์มนั้นดำเนินงานในสหภาพยุโรป

ขั้นตอนที่ผู้ใช้สามารถทำได้เพื่อลดความเสี่ยง

ในขณะที่หน่วยงานกำกับดูแลจัดการกับการบังคับใช้ บุคคลทั่วไปยังคงมีขั้นตอนที่ปฏิบัติได้จริงที่สามารถทำได้ ทบทวนการตั้งค่าความเป็นส่วนตัวและการอนุญาตข้อมูลในแอปที่คุณใช้เป็นประจำ รวมถึงแพลตฟอร์มแชร์รถและงานกิ๊ก และจำกัดข้อมูลที่คุณแบ่งปันเมื่อเป็นไปได้ หากคุณเชื่อว่าการตัดสินใจแบบอัตโนมัติส่งผลกระทบต่อคุณอย่างไม่เป็นธรรม GDPR ให้สิทธิ์คุณในการขอให้มีการตรวจสอบโดยมนุษย์ และขอให้บริษัทอธิบายตรรกะเบื้องหลังการตัดสินใจนั้น คุณยังสามารถยื่นเรื่องร้องเรียนโดยตรงกับหน่วยงานคุ้มครองข้อมูลแห่งชาติของคุณได้หากบริษัทไม่ตอบสนอง

การเก็บข้อมูลส่วนบุคคลให้น้อยที่สุดเท่าที่จะทำได้ การใช้ความปลอดภัยของบัญชีที่แข็งแกร่ง และการติดตามข้อมูลว่าแพลตฟอร์มต่างๆ จัดการกับการโอนข้อมูลข้ามพรมแดนอย่างไร ล้วนลดความเสี่ยงของคุณต่อปัญหาประเภทที่นำไปสู่ค่าปรับของอูเบอร์ได้

ภาพรวมที่ใหญ่ขึ้น

ค่าปรับ 825 ล้านยูโรของอูเบอร์ในกรณีข้อมูลคนขับ ตอกย้ำความจริงที่กว้างขึ้นเกี่ยวกับการบังคับใช้ค่าปรับภายใต้ GDPR นั่นคือ การคุ้มครองความเป็นส่วนตัวจะได้ผลก็ต่อเมื่อหน่วยงานกำกับดูแล actively ทำให้บริษัทต่างๆ รับผิดชอบ และผู้ใช้ได้รับประโยชน์จากการทำความเข้าใจการคุ้มครองเหล่านั้นด้วยตัวเอง แทนที่จะสมมติว่าความปรารถนาดีของบริษัทจะช่วยเติมเต็มช่องว่างนั้น ในขณะที่ระบบอัตโนมัติเข้ามากำหนดการตัดสินใจในชีวิตประจำวันมากขึ้น ตั้งแต่การพักใช้บัญชีไปจนถึงคุณสมบัติในการรับบริการ การติดตามข้อมูลเกี่ยวกับสิทธิ์ของคุณภายใต้ GDPR เป็นหนึ่งในเครื่องมือที่มีประสิทธิภาพที่สุดที่คุณมี ใช้เวลาทบทวนว่าแพลตฟอร์มที่คุณพึ่งพาจัดการข้อมูลของคุณอย่างไร และอย่าลังเลที่จะใช้สิทธิ์ของคุณในการตั้งคำถามกับการตัดสินใจแบบอัตโนมัติที่ส่งผลกระทบต่อคุณโดยตรง