Що Uber зробив не так відповідно до GDPR
Нідерландський орган із захисту даних (Autoriteit Persoonsgegevens) оштрафував Uber на €825 мільйонів, що становить приблизно $966 мільйонів, що робить це одним із найбільших штрафів, коли-небудь накладених відповідно до Загального регламенту про захист даних. Штраф стосується використання Uber автоматизованих систем для призупинення або деактивації акаунтів водіїв. Відповідно до GDPR, особи мають право розуміти, як приймаються автоматизовані рішення, що впливають на них, і оскаржувати ці рішення через людського переглядача. Регулятори виявили, що процес Uber з відключення водіїв, іноді зі значними фінансовими наслідками, не надавав постраждалим водіям належної прозорості або значущого способу оскаржити результат.
Це не перший конфлікт Uber із нідерландськими регуляторами. У 2024 році той самий орган оштрафував Uber на €290 мільйонів за передачу персональних даних водіїв з ЄС на сервери у Сполучених Штатах без належних гарантій. Ця справа стосувалася Стандартних договірних клаузул — правового механізму, який компанії використовують для обґрунтування переміщення європейських даних за кордон. За повідомленнями, Uber припинив використовувати ці клаузули після серпня 2021 року, залишивши дані водіїв недостатньо захищеними під час міжнародних передач. Разом ці два штрафи змальовують картину компанії, яка неодноразово намагалася узгодити свою внутрішню практику роботи з даними з основними вимогами GDPR щодо прозорості, згоди та транскордонних передач.
Як насправді працює забезпечення виконання GDPR
GDPR забезпечується національними органами із захисту даних у кожній державі-члені ЄС, а не єдиним централізованим європейським регулятором. Оскільки європейські операції Uber мають штаб-квартиру в Нідерландах, нідерландський орган очолив цю справу, подібно до того, як Комісія із захисту даних Ірландії розглянула окремий штраф у розмірі €1,2 мільярда проти Meta у 2023 році за порушення конфіденційності, пов'язані з передачею даних, який Meta оскаржила.
Ця структура означає, що орган, який контролює компанію, залежить від того, де знаходиться головний офіс компанії в ЄС, а заходи примусового виконання можуть тривати роками. Регулятори розслідують скарги, запитують документацію та накладають штрафи, які компанії часто оскаржують, що ще більше затягує процес. Для читачів, які намагаються зрозуміти, як розгортаються ці розслідування та якими повноваженнями насправді володіють регулятори, пояснення CNIL пропонує корисний огляд того, як працює один із найактивніших органів із захисту даних у Європі, оскільки ті самі фундаментальні принципи забезпечення виконання застосовуються у всіх державах-членах ЄС, включно з Нідерландами.
Що це означає для ваших персональних даних
Масштаб штрафу Uber, який тепер перевищує €1,1 мільярда за двома заходами примусового виконання, відображає, наскільки серйозно регулятори ЄС ставляться до порушень автоматизованого прийняття рішень і передачі даних. Але розмір штрафу не скасовує впливу на людей, чиї дані були використані неправильно. Водії, акаунти яких були автоматично призупинені без чіткого пояснення або можливості оскарження, зазнали реальної фінансової шкоди, і жоден штраф, сплачений регулятору, не компенсує їм це безпосередньо.
Ця справа є нагадуванням про те, що GDPR існує тому, що компанії, навіть великі та добре забезпечені ресурсами, не завжди самі правильно поводяться з даними. Автоматизовані системи можуть приймати важливі рішення про засоби існування людей із малою прозорістю, якщо регулятори не втручаються. Якщо така відома компанія, як Uber, може накопичити сотні мільйонів штрафів за ці практики, це сигнал користувачам не припускати, що будь-яка платформа автоматично поважає їхні права на дані лише тому, що вона працює в ЄС.
Кроки, які користувачі можуть зробити, щоб обмежити вплив
Хоча регулятори займаються забезпеченням виконання, фізичні особи все одно можуть вжити практичних заходів. Перегляньте налаштування конфіденційності та дозволи на дані в додатках, якими ви регулярно користуєтеся, включно з платформами райдшерінгу та гіг-економіки, і обмежте обмін даними, коли це можливо. Якщо ви вважаєте, що автоматизоване рішення вплинуло на вас несправедливо, GDPR дає вам право вимагати людського перегляду та попросити компанію пояснити логіку, що стоїть за цим рішенням. Ви також можете подати скаргу безпосередньо до національного органу із захисту даних, якщо компанія не реагує.
Мінімізація персональних даних, де це можливо, використання надійного захисту акаунта та поінформованість про те, як платформи обробляють транскордонні передачі даних, зменшують вашу вразливість до таких проблем, які призвели до штрафів Uber.
Загальна картина
Штраф Uber у розмірі €825 мільйонів за дані водіїв підкреслює ширшу істину про забезпечення виконання GDPR: захист конфіденційності працює лише тоді, коли регулятори активно притягують компанії до відповідальності, а користувачі виграють від розуміння цих механізмів захисту самостійно, а не припускають, що корпоративна доброзичливість заповнить прогалину. Оскільки все більше автоматизованих систем формують повсякденні рішення — від призупинення акаунтів до права на отримання послуг — поінформованість про ваші права відповідно до GDPR є одним із найефективніших інструментів, які у вас є. Знайдіть час, щоб переглянути, як платформи, на які ви покладаєтеся, обробляють ваші дані, і не соромтеся скористатися своїм правом оскаржувати автоматизовані рішення, які впливають на вас безпосередньо.
