Uber đang phải đối mặt với mức phạt 825 triệu euro theo GDPR liên quan đến một hành vi có lẽ quen thuộc với bất kỳ ai từng bị khóa tài khoản mà không có lời giải thích nào: tự động đình chỉ tài xế dựa trên các quyết định thuật toán, mà không có con người nào xem xét vụ việc. Mức phạt này là một trong những khoản phạt về quyền riêng tư lớn nhất trong thời gian gần đây, và nó làm nổi bật một quyền mà hầu hết người dùng internet không nhận ra rằng họ có, quyền không bị áp dụng các quyết định hoàn toàn tự động mang lại hậu quả thực sự.

Uber đã làm gì: Đình chỉ theo thuật toán mà không có xem xét của con người

Trọng tâm của vụ việc này là hệ thống vô hiệu hóa tài xế của Uber. Theo các cơ quan quản lý, tài xế có thể bị đình chỉ, và trên thực tế mất thu nhập, hoàn toàn dựa trên các đánh giá tự động về hoạt động, tín hiệu gian lận, xếp hạng hoặc các điểm dữ liệu khác của họ, mà không có người nào can thiệp để xác nhận quyết định là công bằng hay thậm chí chính xác. Đối với một người làm việc tự do, bị đình chỉ không phải là một bất tiện nhỏ. Nó có thể đồng nghĩa với việc mất kế sinh nhai ngay lập tức, thường không rõ lý do tại sao điều đó xảy ra hoặc làm thế nào để kháng cáo.

Đây không phải là câu chuyện về một thuật toán lỗi đơn lẻ gây ra sai lầm. Đó là về một lựa chọn cấu trúc: xây dựng một hệ thống nơi máy móc đưa ra các quyết định quan trọng và con người chỉ là tùy chọn. Sự khác biệt đó có ý nghĩa vô cùng lớn theo luật bảo vệ dữ liệu châu Âu, và đó là lý do tại sao mức phạt lên tới hàng trăm triệu euro thay vì chỉ là một lá thư cảnh báo. Độc giả muốn biết chi tiết đầy đủ về bối cảnh pháp lý, bao gồm cách tính mức phạt và cơ quan quản lý Hà Lan đã phát hiện điều gì, có thể xem mức phạt GDPR ban đầu của cơ quan quản lý Hà Lan đối với Uber để biết thêm chi tiết về vụ việc.

Điều 22 GDPR bảo vệ chống lại các quyết định tự động như thế nào

Cơ sở pháp lý cho mức phạt này nằm ở Điều 22 GDPR, một điều khoản trao cho cá nhân quyền không bị áp dụng quyết định dựa hoàn toàn vào xử lý tự động khi quyết định đó tạo ra hiệu lực pháp lý hoặc ảnh hưởng đáng kể tương tự đến họ. Mất quyền truy cập vào nguồn thu nhập chính của bạn rõ ràng là đủ điều kiện.

Quy tắc này không cấm hoàn toàn việc tự động hóa. Các công ty có thể sử dụng thuật toán để gắn cờ vấn đề, chấm điểm rủi ro hoặc phân loại vụ việc. Điều GDPR yêu cầu là khi một quyết định có hậu quả nghiêm trọng, một con người phải được tham gia một cách có ý nghĩa, một người có thẩm quyền và thông tin để thực sự ghi đè máy móc, chứ không chỉ đơn thuần đóng dấu chấp nhận kết quả của nó. Các cơ quan quản lý ngày càng coi việc "một người nhấn nút phê duyệt" là không đủ nếu người đó chưa bao giờ có cơ hội thực sự để điều tra hoặc đảo ngược kết quả. Vụ việc của Uber cho thấy khoảng cách đó, giữa việc có một con người trong quy trình trên giấy tờ và có một con người trong quy trình trên thực tế, chính là nơi các công ty gặp rắc rối.

Ngoài công việc tự do: Shadowban, khóa tài khoản và yêu cầu xóa dữ liệu

Mặc dù mức phạt này liên quan đến một công ty chia sẻ xe, vấn đề cốt lõi vượt xa phạm vi công việc tự do. Các nền tảng mạng xã hội sử dụng hệ thống tự động để shadowban tài khoản hoặc gỡ nội dung. Ngân hàng và bộ xử lý thanh toán sử dụng thuật toán để đóng băng tài khoản vì nghi ngờ gian lận. Các dịch vụ phát trực tuyến và chợ trực tuyến tự động cấm người dùng vì hành vi bị gắn cờ. Ngay cả các yêu cầu xóa dữ liệu và truy cập dữ liệu, quyền cốt lõi của GDPR, thường được xử lý bởi các hệ thống tự động có thể âm thầm từ chối một yêu cầu hợp pháp mà không có bất kỳ sự xem xét nào của con người.

Trong mỗi tình huống này, cùng một sự căng thẳng xuất hiện: sự tiện lợi và quy mô cho công ty, so với quy trình đúng đắn và tính minh bạch cho cá nhân. Hầu hết người dùng không bao giờ nghĩ đến việc hỏi liệu một con người có xem xét quyết định ảnh hưởng đến họ hay không, chủ yếu vì các nền tảng hiếm khi tiết lộ điều đó. Mức phạt của Uber cho thấy các cơ quan quản lý đang bắt đầu coi sự không minh bạch đó là rủi ro tuân thủ, chứ không chỉ là một sự phiền toái trong dịch vụ khách hàng.

Điều này có ý nghĩa gì đối với bạn

Nếu bạn từng bị đình chỉ, cấm hoặc bị từ chối một yêu cầu bởi một ứng dụng hoặc nền tảng mà không có lời giải thích rõ ràng, rất có thể một thuật toán đã đưa ra quyết định đó với sự giám sát tối thiểu hoặc không có sự giám sát nào của con người. Theo GDPR, nếu bạn ở EU hoặc dữ liệu của bạn được xử lý bởi một công ty hoạt động tại đó, bạn thường có quyền yêu cầu giải thích về các quyết định tự động ảnh hưởng đáng kể đến bạn, quyền phản đối quyết định đó và yêu cầu sự xem xét có ý nghĩa của con người. Các công ty hoạt động trong lĩnh vực này có nghĩa vụ pháp lý phải xây dựng van an toàn đó, ngay cả khi nó không được quảng cáo một cách công khai.

Vụ việc này cũng nêu lên giá trị thực tế của việc thận trọng về mức độ kiểm soát bạn trao cho các nền tảng phụ thuộc nhiều vào việc thực thi tự động. Hiểu về quyền ra quyết định tự động của bạn theo GDPR không chỉ là một khái niệm pháp lý trừu tượng, mà là một công cụ bạn thực sự có thể sử dụng khi một ứng dụng khóa bạn ra ngoài hoặc một thuật toán gắn cờ tài khoản của bạn.

Những điểm chính

Nếu bạn thấy mình ở phía nhận một quyết định đình chỉ, cấm hoặc từ chối tự động, đáng để hành động thay vì cho rằng quyết định là cuối cùng. Yêu cầu một lời giải thích bằng văn bản về cách quyết định được đưa ra và liệu một con người có xem xét nó hay không. Trích dẫn rõ ràng các quyền GDPR của bạn nếu công ty chịu sự điều chỉnh của luật EU, và nộp đơn khiếu nại lên cơ quan bảo vệ dữ liệu có liên quan nếu bạn không nhận được phản hồi thỏa đáng. Lưu giữ hồ sơ về mọi giao tiếp của bạn với nền tảng, vì một mô hình được ghi nhận về các quyết định tự động, không được xem xét là chính loại bằng chứng đã dẫn đến mức phạt 825 triệu euro của Uber. Khi ngày càng nhiều khía cạnh của cuộc sống hàng ngày được lọc qua các thuật toán, biết những quyền này, và sử dụng chúng, là một trong những cách rõ ràng nhất để phản kháng khi máy móc làm sai.