Az Uber 825 millió eurós adatvédelmi bírságot kapott Hollandiában, miután a hatóság megállapította, hogy a vállalat automatizált rendszerei megfelelő tájékoztatás és érdemi emberi felülvizsgálat nélkül függeszthettek fel sofőrfiókokat. A döntések egyes esetekben az érintettek bevételének azonnali megszűnésével jártak, ezért a szabályozó szerint az Uber súlyosan megsértette az európai adatvédelmi előírásokat.
Algoritmusok döntöttek a sofőrök felfüggesztéséről
A holland adatvédelmi hatóság vizsgálata szerint az Uber 2018 és 2022 között olyan automatizált rendszereket alkalmazott, amelyek a sofőrök tevékenységét elemezték, majd bizonyos esetekben emberi közreműködés nélkül korlátozták vagy deaktiválták a felhasználói fiókokat.
A rendszer többek között feltételezett csalás, szokatlan útvonalválasztás vagy alacsony ügyfélértékelések alapján hozhatott döntéseket. Gyanúsnak minősülhetett például, ha egy sofőr a szoftver értékelése szerint indokolatlan kerülőutat tett a magasabb viteldíj érdekében, vagy úgy fogadott el egy fuvarmegrendelést, hogy azt később nem teljesítette.
Ezek a jelzések ideiglenes felfüggesztéshez vezethettek, míg a tartósan alacsony értékelések bizonyos esetekben végleges kizárást is eredményezhettek. A hatóság szerint a sofőrök nem minden esetben kaptak megfelelő tájékoztatást arról, hogy pontosan milyen adatok és szempontok alapján született meg a döntés.
Egy felfüggesztés azonnal elvághatta a bevételt
Az ügy súlyát jelentősen növelte, hogy az érintett sofőrök számára az Uber-fiók nem egyszerűen egy online profil volt. A platformhoz való hozzáférés közvetlenül meghatározta, hogy dolgozhattak-e, így egy automatikus felfüggesztés egyik pillanatról a másikra megszüntethette a bevételi lehetőségüket.
A holland hatóság álláspontja szerint ilyen horderejű döntést nem hozhat meg kizárólag egy számítógépes rendszer. Ha egy algoritmikus döntés jelentős hatással van valaki életére, munkájára vagy anyagi helyzetére, akkor valódi emberi ellenőrzésre, világos indokolásra és tényleges jogorvoslati lehetőségre van szükség.
A vizsgálat arra is rámutatott, hogy a sofőrök számára nem volt kellően átlátható az automatizált döntéshozatal működése. Emiatt nehézséget jelenthetett annak megállapítása is, hogy a rendszer tévedett-e, illetve pontosan milyen bizonyítékokkal lehetett volna eredményesen vitatni a felfüggesztést.
A GDPR az algoritmikus döntésekre is vonatkozik
Az Európai Unió általános adatvédelmi rendelete, vagyis a GDPR nem kizárólag az adatlopásokkal, kiszivárgott jelszavakkal vagy jogosulatlan adattovábbítással foglalkozik. A szabályozás azokra az automatizált döntésekre is kiterjed, amelyek jelentős következményekkel járhatnak az érintettekre nézve.
A GDPR értelmében egy vállalat főszabály szerint nem alapozhat kizárólag automatizált adatfeldolgozásra olyan döntést, amely jogi vagy ahhoz hasonlóan súlyos hatást gyakorol valakire. Bizonyos kivételek lehetségesek, de ezekben az esetekben is megfelelő garanciákat kell biztosítani.
Ilyen garancia lehet az érdemi emberi felülvizsgálat, a döntés hátterének érthető ismertetése, valamint az a lehetőség, hogy az érintett vitathassa az algoritmus következtetését. A hatóság szerint az Uber korábbi gyakorlata nem felelt meg ezeknek a követelményeknek.
A második legnagyobb GDPR-bírság lehet
A 825 millió eurós büntetés minden idők második legnagyobb, GDPR alapján kiszabott bírsága lehet. Ennél nagyobb szankciót eddig a Meta kapott, amelyre 2023-ban 1,2 milliárd eurós büntetést szabtak ki az európai Facebook-felhasználók adatainak Egyesült Államokba történő továbbítása miatt.
Az Uberre kirótt összeg nagyságát a vállalat globális bevétele, a jogsértések időtartama, azok feltételezett rendszerszintű jellege, valamint az érintett sofőrökre gyakorolt következmények is befolyásolták. A holland hatóság különösen súlyosnak értékelte, hogy a döntések közvetlenül érinthették az emberek megélhetését.
A vizsgálat 171 francia Uber-sofőr panaszából indult ki. Az érintettek egy francia jogvédő szervezethez fordultak, az ügy azonban végül Hollandiába került, mivel az Uber európai központja ebben az országban található.
Az Uber vitatja a hatóság megállapításait
Az Uber közölte, hogy nem ért egyet a döntéssel, a bírságot aránytalannak tartja, és fellebbezést nyújt be. A vállalat szerint a vizsgálat olyan korábbi szabályzatokra és eljárásokra vonatkozott, amelyeket évekkel ezelőtt megszüntettek.
A társaság állítása szerint komolyan veszi azokat a döntéseket, amelyek befolyásolhatják a sofőrök munkavégzését. Az Uber hangsúlyozta, hogy jelenlegi rendszereiben emberi felülvizsgálat, különböző biztonsági garanciák és fellebbezési lehetőség is rendelkezésre áll.
A vállalat azt is vitatja, hogy a sofőrök végleges kizárása teljesen automatikusan történt volna. Az Uber szerint 2021-ben Európában mindössze 126 sofőr fiókját deaktiválták alacsony ügyfélértékelések miatt, ezért a cég a 825 millió eurós büntetést az érintettek számához képest is túlzónak tartja.
Nem ez az első adatvédelmi konfliktus
A holland adatvédelmi hatóság korábban több alkalommal is elmarasztalta az Ubert. A vállalat 2024-ben 290 millió eurós bírságot kapott, amiért a hatóság szerint nem biztosított megfelelő védelmet az európai sofőrök személyes adatainak Egyesült Államokba történő továbbítása során.
Egy másik eljárásban 10 millió eurós büntetést szabtak ki a sofőrök adatainak kezelésével, a megőrzési időkkel és az adatokhoz való hozzáférés lehetőségével kapcsolatos hiányosságok miatt.
Az Uber ezeknek a döntéseknek egy részét szintén vitatja. A mostani 825 millió eurós bírság sorsa ezért még nem tekinthető véglegesnek: a fellebbezési eljárás során az összeget csökkenthetik, a határozatot megváltoztathatják, vagy akár teljesen hatályon kívül is helyezhetik.
Az egész platformgazdaság számára figyelmeztetés lehet
Az Uber ügye messze túlmutat egyetlen fuvarmegosztó vállalat adatkezelési gyakorlatán. A digitális platformok egyre gyakrabban használnak algoritmusokat a munkavállalók és szolgáltatók teljesítményének értékelésére, a feladatok kiosztására, a díjazás meghatározására vagy a hozzáférés korlátozására.
Az automatizálás önmagában nem feltétlenül jogellenes, és nagy felhasználói létszám mellett sok esetben nélkülözhetetlen. A probléma akkor kezdődik, amikor a rendszer döntése közvetlenül befolyásolja valakinek a megélhetését, miközben az érintett nem tudja, miért született meg az ítélet, és nincs lehetősége arra, hogy azt valódi emberrel vizsgáltassa felül.
A döntés azt üzeni a technológiai vállalatoknak, hogy az emberi felügyelet nem lehet pusztán formális. A felülvizsgálatot végző személynek ténylegesen meg kell értenie a döntés hátterét, rendelkeznie kell a szükséges információkkal, és lehetőséget kell kapnia az algoritmus következtetésének megváltoztatására.
Kártérítési eljárás is következhet
A hatósági bírság mellett az Ubernek további jogi következményekkel is számolnia kell. A sofőrök fellépését segítő digitális jogvédő szervezet csoportos kártérítési eljárás előkészítését jelezte.
Egy ilyen eljárásban az érintett sofőrök arra hivatkozhatnak, hogy az automatizált felfüggesztések miatt bevételtől estek el, miközben nem kaptak megfelelő tájékoztatást és jogorvoslati lehetőséget. A kártérítés kérdése ugyanakkor külön eljárás tárgya lenne, amelynek eredménye nagymértékben függhet az Uber hatósági döntéssel szembeni fellebbezésétől is.
Az ügy mindenesetre mérföldkővé válhat az algoritmikus munkairányítás európai szabályozásában. A technológia képes gyorsan és hatékonyan kiszűrni a szabálytalanságokat, de amikor egy automatizált döntés valakinek a teljes bevételét veszélyezteti, az átláthatóság és az emberi ellenőrzés már nem választható lehetőség, hanem alapvető követelmény.