优步在GDPR下的违规行为

荷兰数据保护局（Autoriteit Persoonsgegevens）对优步处以8.25亿欧元（约合9.66亿美元）罚款，使其成为《通用数据保护条例》实施以来最大规模的处罚之一。此次罚款的核心在于优步使用自动化系统暂停或停用驾驶员账户。根据GDPR，个人有权了解影响自身的自动化决策是如何作出的，并有权通过人工审核员对该决策提出异议。监管机构发现，优步在切断驾驶员账户（有时会带来重大的财务后果）的过程中，未向受影响的驾驶员提供充分的透明度，也未提供有意义的途径来质疑处理结果。

这不是优步首次与荷兰监管机构发生纠纷。2024年，同一机构以优步在缺乏适当保障措施的情况下将欧盟驾驶员的个人数据传输至美国服务器为由，对其处以2.9亿欧元罚款。该案涉及标准合同条款，这是企业用来证明将欧洲数据转移至海外合法性的法律机制。据报道，优步在2021年8月后停止使用这些条款，导致驾驶员数据在国际传输过程中未得到充分保护。这两项处罚共同描绘出一家公司在将内部数据实践与GDPR围绕透明度、同意和跨境传输的核心要求对齐方面屡屡受挫的图景。

GDPR执法实际上如何运作

GDPR由各欧盟成员国的国家数据保护机构执行，而非由一个集中的欧洲监管机构负责。由于优步的欧洲业务总部设在荷兰，因此荷兰监管机构牵头处理了此案，类似爱尔兰数据保护委员会在2023年对Meta处以12亿欧元罚款（因其与数据传输相关的隐私违规）的做法，Meta已对该处罚提出上诉。

这一结构意味着，负责监管某家公司的机构取决于该公司在欧盟的主要机构所在地，而执法行动可能需要数年才能完成。监管机构调查投诉、要求提供文件并处以罚款，企业通常会提出上诉，进一步延长了程序。对于试图了解这些调查如何展开以及监管机构实际拥有哪些权力的读者而言，CNIL解读提供了了解欧洲最活跃的数据保护机构之一如何运作的有用视角，因为相同的执法基本原则适用于所有欧盟成员国，包括荷兰。

这对你的个人数据意味着什么

优步罚款的规模（连同两次执法行动累计超过11亿欧元）反映出欧盟监管机构对自动化决策和数据传输违规行为的重视程度。然而，罚款的金额并不能消除数据被不当处理者所遭受的影响。账户被自动暂停且未获得明确解释或救济途径的驾驶员遭受了实际的经济损失，而支付给监管机构的罚款并不会直接补偿他们。

此案提醒人们，GDPR之所以存在，是因为企业（即便是规模庞大、资源充足的企业）并不总能自行正确处理数据。自动化系统可以对人们的生活来源作出具有重大影响的决定，而如果监管机构不介入，这些决定往往缺乏透明度。如果像优步这样知名的公司都可能因这些做法累积数亿欧元的罚款，这就传递出一个信号：用户不应因为某个平台在欧盟运营就自动认为其数据权利得到了尊重。

用户可以采取的降低风险措施

在监管机构负责执法的同时，个人仍可采取实际措施。定期检查你经常使用的应用（包括网约车和零工平台）的隐私设置和数据权限，并尽可能限制共享的数据。如果你认为自动化决定对你不公，GDPR赋予你请求人工审核的权利，并有权要求公司解释该决定背后的逻辑。如果公司不予回应，你也可以直接向本国国家数据保护机构提出投诉。

尽可能保持个人数据的最小化、使用强账户安全性，并持续了解平台如何处理跨境数据传输，这些都能降低你面临的风险——正是这类问题导致了优步的罚款。

更广泛的视角

优步因驾驶员数据被处以8.25亿欧元罚款，凸显了GDPR罚款执行方面的一个更大事实：只有监管机构积极追究企业责任，隐私保护才能发挥作用，而用户自身理解这些保护措施，比指望企业的善意来填补空白更为有效。随着越来越多的自动化系统影响着日常决策（从账户暂停到服务资格），了解你在GDPR下的权利是你拥有的最有效工具之一。花时间审查你所依赖的平台如何处理你的数据，并毫不犹豫地行使你对直接影响自身的自动化决定提出质疑的权利。