Uber vừa hứng chịu một trong những khoản phạt GDPR lớn nhất trong lịch sử của gã khổng lồ gọi xe này. Cơ quan bảo vệ dữ liệu Hà Lan đã phạt công ty khoảng 825 triệu euro, tương đương gần 966 triệu USD, vì vi phạm Quy định chung về Bảo vệ Dữ liệu (GDPR) của Liên minh châu Âu thông qua việc sử dụng các hệ thống tự động để vô hiệu hóa tài khoản tài xế. Khoản phạt GDPR đối với Uber này bổ sung vào danh sách ngày càng dài các biện pháp cưỡng chế nhắm vào công ty và cho thấy các cơ quan quản lý EU đang coi trọng vấn đề ra quyết định tự động ảnh hưởng đến sinh kế của người dân như thế nào.
Chuyện gì đã xảy ra: Mức phạt GDPR gần 1 tỷ USD của Uber
Theo các báo cáo về vụ việc, cơ quan bảo vệ dữ liệu Hà Lan phát hiện Uber đã sử dụng phần mềm tự động để đình chỉ hoặc vô hiệu hóa tài khoản tài xế mà không có sự minh bạch đầy đủ hoặc giám sát của con người. Các tài xế bị mất quyền truy cập vào tài khoản của họ, và cùng với đó là khả năng kiếm thu nhập, dựa trên các quyết định phần lớn được đưa ra bởi thuật toán thay vì quy trình xem xét rõ ràng, có thể giải thích được từ con người. Đây không phải là lần đầu tiên Uber vi phạm GDPR. Công ty trước đó đã từng bị soi xét về các hoạt động xử lý dữ liệu của mình, bao gồm một vụ việc riêng biệt trong đó công ty bị yêu cầu nộp phạt 584.000 euro vì không tuân thủ lệnh của tòa án liên quan đến minh bạch thuật toán trong một tranh chấp được gọi là 'sa thải bằng robot'. Lịch sử vi phạm nhiều lần này dường như đã góp phần vào mức độ lớn của khoản phạt mới nhất.
Tại sao ra quyết định tự động là điểm nóng của GDPR
GDPR có các quy định bảo vệ cụ thể xung quanh việc ra quyết định tự động, đặc biệt khi những quyết định đó mang lại hậu quả nghiêm trọng cho một cá nhân, chẳng hạn như mất quyền truy cập vào công việc hoặc thu nhập. Theo quy định này, các công ty thường cần cung cấp thông tin có ý nghĩa về logic liên quan đến các quyết định tự động, cho phép can thiệp của con người, và tạo điều kiện cho các cá nhân bị ảnh hưởng có cách thức để phản đối những kết quả mà họ cho là không công bằng hoặc không chính xác. Các cơ quan quản lý ngày càng tập trung vào những trường hợp thuật toán đưa ra các quyết định rủi ro cao với rất ít khả năng nhìn thấy cách thức hoặc lý do đưa ra quyết định. Vụ việc của Uber nằm chính xác trong khuôn mẫu này: một nền tảng sử dụng hệ thống tự động ở quy mô lớn, tài xế không thể nhận được câu trả lời rõ ràng về lý do tài khoản của họ bị đình chỉ, và cơ quan quản lý kết luận rằng các quy trình của công ty không đáp ứng các tiêu chuẩn minh bạch và công bằng mà GDPR yêu cầu.
Hành động cưỡng chế này cũng báo hiệu một điều rộng lớn hơn. Khi các nền tảng kinh tế tự do (gig economy) và các dịch vụ kỹ thuật số lớn khác ngày càng phụ thuộc nhiều vào các hệ thống tự động để quản lý người dùng, người lao động và khách hàng, các cơ quan quản lý EU đang cho thấy họ sẽ không coi việc ra quyết định bằng thuật toán là một vùng xám pháp lý. Các công ty xây dựng hệ thống tự động ảnh hưởng đến sinh kế thực sự của con người được kỳ vọng phải tích hợp tính minh bạch và giám sát của con người ngay từ đầu, chứ không phải gắn thêm vào sau khi bị phạt.
Điều này có ý nghĩa gì với bạn
Nếu bạn sử dụng Uber hoặc bất kỳ nền tảng nào dựa vào quản lý tài khoản tự động, vụ việc này là một lời nhắc nhở hữu ích về các quyền bạn có theo GDPR, bất kể bạn là tài xế, khách hàng, hay chỉ đơn giản là người dùng một dịch vụ kỹ thuật số hoạt động tại EU. Bạn có quyền yêu cầu một công ty cung cấp thông tin về dữ liệu họ lưu giữ về bạn và cách dữ liệu đó được sử dụng trong bất kỳ quyết định tự động nào ảnh hưởng đến bạn. Bạn có quyền yêu cầu xem xét lại từ con người đối với một quyết định được đưa ra hoàn toàn bởi thuật toán, đặc biệt khi quyết định đó có tác động đáng kể, chẳng hạn như đình chỉ tài khoản hoặc hạn chế quyền truy cập vào dịch vụ. Bạn cũng có quyền nộp đơn khiếu nại lên cơ quan bảo vệ dữ liệu quốc gia của mình nếu bạn tin rằng một công ty đã không minh bạch về cách họ sử dụng dữ liệu của bạn hoặc đã đưa ra một quyết định tự động không công bằng.
Quy mô của khoản phạt GDPR đối với Uber, gần chạm mốc một tỷ USD, cũng nhấn mạnh rằng các cơ quan quản lý sẵn sàng áp đặt các mức phạt đủ lớn để thay đổi hành vi của doanh nghiệp, chứ không chỉ là những khoản phạt mang tính biểu tượng. Đối với người dùng thông thường, điều này thường đồng nghĩa với việc các nền tảng sẽ có động lực mạnh hơn để xây dựng quy trình kháng nghị rõ ràng hơn và hoạt động xử lý dữ liệu minh bạch hơn trong tương lai.
Những điểm hành động thiết thực
Nếu bạn phụ thuộc vào các nền tảng kinh tế tự do hoặc bất kỳ dịch vụ nào sử dụng quyết định tài khoản tự động, hãy lưu giữ hồ sơ về mọi thông tin liên lạc bạn nhận được liên quan đến thay đổi trạng thái tài khoản, vì những thông tin này có thể hữu ích nếu bạn cần nộp đơn khiếu nại hoặc yêu cầu xem xét lại. Hãy tìm hiểu về các quyền của bạn theo GDPR nếu bạn ở EU, bao gồm quyền được giải thích và quyền được con người xem xét lại các quyết định tự động. Và hãy theo dõi diễn biến của các biện pháp cưỡng chế như thế này, vì kết quả vụ việc của Uber có thể ảnh hưởng đến cách các nền tảng khác thiết kế quy trình quản lý tài khoản và giải quyết tranh chấp trong tương lai.
Khi các cơ quan quản lý tiếp tục soi xét việc ra quyết định tự động trên các nền tảng kỹ thuật số lớn, các vụ việc như của Uber là một tín hiệu rõ ràng rằng minh bạch và trách nhiệm giải trình không phải là những yếu tố tùy chọn. Chúng là những kỳ vọng cơ bản theo luật EU, và quy mô kỷ lục của khoản phạt GDPR này đối với Uber cho thấy các công ty không đạt chuẩn có thể phải trả giá đắt đến mức nào.
