Uber bị phạt 825 triệu Euro - Mức phạt GDPR lớn thứ hai từ trước đến nay

Uber đang phải đối mặt với một trong những khoản phạt về quyền riêng tư lớn nhất từng được ban hành tại châu Âu. Cơ quan Bảo vệ Dữ liệu Hà Lan (Autoriteit Persoonsgegevens) đã phạt công ty gọi xe này 825 triệu euro, tương đương khoảng 966 triệu đô la Mỹ, vì sử dụng hệ thống tự động để đình chỉ tài khoản tài xế. Mức phạt này được xếp hạng là khoản phạt lớn thứ hai từng được áp dụng theo Quy định Bảo vệ Dữ liệu Chung (GDPR), nhấn mạnh mức độ nghiêm trọng mà các cơ quan quản lý châu Âu dành cho việc ra quyết định bằng thuật toán ảnh hưởng đến sinh kế của con người.

Điều Cơ Quan Quản Lý Hà Lan Phát Hiện

Theo Cơ quan Bảo vệ Dữ liệu Hà Lan, Uber đã dựa vào phần mềm tự động để gắn cờ và đình chỉ tài khoản tài xế, một quy trình khiến tài xế mất khả năng làm việc trên nền tảng, đôi khi không có sự xem xét của con người một cách thỏa đáng hoặc không có lộ trình rõ ràng để khiếu nại quyết định. Các hành động thực thi GDPR ở quy mô này là rất hiếm, và mức phạt lớn này cho thấy các cơ quan quản lý coi việc vô hiệu hóa tài khoản tự động là một vấn đề bảo vệ dữ liệu nghiêm trọng, không chỉ đơn thuần là tranh chấp dịch vụ khách hàng. Như đã trình bày chi tiết trong bài viết trước về khoản phạt cấm tài khoản GDPR của Uber, khoản phạt này xuất phát trực tiếp từ cách các thuật toán của công ty xử lý dữ liệu cá nhân để đưa ra các quyết định quan trọng về tài xế mà không có sự minh bạch hoặc giám sát đầy đủ.

Vụ việc này làm nổi bật một căng thẳng lặp đi lặp lại trong nền kinh tế nền tảng: các công ty ngày càng dựa vào hệ thống tự động để quản lý lực lượng lao động lớn ở quy mô rộng, nhưng chính các hệ thống đó có thể đưa ra những quyết định thay đổi cuộc sống, như cắt nguồn thu nhập của ai đó, mà rất ít thông tin về cách thức hoặc lý do đưa ra quyết định.

Tại Sao Việc Đình Chỉ Tự Động Bị GDPR Xem Xét Kỹ Lưỡng

GDPR trao cho cá nhân các quyền cụ thể khi liên quan đến việc ra quyết định tự động. Theo quy định, mọi người thường có quyền không bị áp dụng một quyết định chỉ dựa trên xử lý tự động khi quyết định đó tạo ra hiệu lực pháp lý hoặc hậu quả quan trọng tương tự đối với họ. Việc đình chỉ tài khoản tài xế, và do đó khả năng kiếm thu nhập của họ, rõ ràng thuộc loại này.

Các cơ quan quản lý đã liên tục phản đối các công ty sử dụng thuật toán hộp đen để đưa ra những quyết định kiểu này mà không trao cho cá nhân bị ảnh hưởng cơ hội có ý nghĩa để được xem xét bởi con người hoặc giải thích về quyết định. Khoản phạt đối với Uber này phù hợp với xu hướng thực thi GDPR rộng hơn nhắm vào các hệ thống tự động thiếu minh bạch, thay vì xử phạt các vụ vi phạm dữ liệu hoặc sự cố tấn công mạng.

Đối với một công ty hoạt động trên hàng chục thị trường châu Âu, một khoản phạt ở mức độ này—là mức phạt GDPR lớn thứ hai từng được ghi nhận—là một tín hiệu rõ ràng rằng các cơ quan bảo vệ dữ liệu sẵn sàng áp dụng các hậu quả tài chính nghiêm khắc khi các quy trình tự động bị phát hiện vi phạm quyền của cá nhân.

Điều Này Có Nghĩa Gì Với Bạn

Nếu bạn lái xe cho một nền tảng kinh tế chia sẻ, làm việc với bất kỳ dịch vụ nào sử dụng quản lý tài khoản tự động, hoặc chỉ đơn giản sử dụng các ứng dụng đưa ra quyết định bằng thuật toán về bạn, vụ việc này là lời nhắc nhở rằng bạn có các quyền theo luật bảo vệ dữ liệu khi liên quan đến việc ra quyết định tự động. Tại EU, điều đó bao gồm quyền yêu cầu can thiệp của con người, trình bày quan điểm của bạn và khiếu nại một quyết định chỉ được đưa ra bởi thuật toán.

Ngay cả khi bạn không phải là tài xế hoặc lao động kinh tế chia sẻ, phán quyết này vẫn quan trọng vì nó củng cố mức độ nghiêm túc mà các cơ quan quản lý đang xem xét bảo vệ dữ liệu liên quan đến các hệ thống tự động nói chung, không chỉ vi phạm hoặc tấn công mạng. Các công ty dựa vào thuật toán để quản lý tài khoản, tư cách thành viên hoặc dịch vụ hiện đang phải đối mặt với rủi ro tài chính thực sự nếu các hệ thống đó hoạt động mà không có sự minh bạch hoặc giám sát của con người đầy đủ.

Đối với người dùng thông thường, đây cũng là thời điểm tốt để xem xét mức độ kiểm soát mà bạn có đối với dữ liệu của chính mình và trạng thái tài khoản trên các nền tảng bạn sử dụng thường xuyên. Hiểu được quy trình khiếu nại của công ty, và liệu có con người xem xét các quyết định tự động hay không, có thể giúp bạn tránh bị mắc kẹt trong một tranh chấp tương tự.

Những Điểm Chính

Khoản phạt Uber là một thời điểm mang tính bước ngoặt cho việc thực thi GDPR, và nó mang lại một vài bài học thực tế cho độc giả:

• Biết quyền của bạn: theo GDPR, bạn có thể yêu cầu xem xét bởi con người đối với bất kỳ quyết định tự động nào ảnh hưởng đáng kể đến bạn.
• Nếu một nền tảng đình chỉ hoặc hạn chế tài khoản của bạn, hãy hỏi cụ thể liệu quyết định đó có phải là tự động hay không và yêu cầu giải thích.
• Giữ hồ sơ về hoạt động tài khoản của bạn và mọi liên lạc với nền tảng trong trường hợp bạn cần khiếu nại một quyết định tự động.
• Theo dõi các diễn biến tiếp theo, vì khoản phạt này có thể thúc đẩy các cơ quan quản lý khác trên khắp châu Âu xem xét kỹ lưỡng các hệ thống tự động tương tự được sử dụng bởi các công ty khác.

Khi các cơ quan quản lý tiếp tục kiểm tra giới hạn của GDPR đối với các hệ thống tự động mạnh mẽ, các vụ việc như thế này có khả năng định hình cách các nền tảng thiết kế thuật toán của họ và mức độ minh bạch mà họ phải cung cấp cho những người bị ảnh hưởng bởi chúng.