Den nederländska dataskyddsmyndigheten AP har i enlighet med EU-lagar beslutat att bötfälla Uber med 824,99 miljoner euro. Bakgrunden är automatiserade beslut som kunde leda till att förare tillfälligt eller permanent förlorade tillgången till Uber-plattformen. Myndigheten anser att Uber brutit mot GDPR genom att låta sådana beslut fattas utan tillräcklig mänsklig inblandning och utan att förarna fått tillräcklig information om hur besluten fungerade.
Boten är den näst största som hittills beslutats med stöd av GDPR. Bara Metas bot på 1,2 miljarder euro från 2023 är större, enligt Reuters. Uber har meddelat att beslutet kommer att överklagas.
Annons
Systemet kunde slå direkt mot förarnas inkomst
Ärendet går tillbaka till klagomål från fler än 170 Uber-förare som lämnades in till den franska dataskyddsmyndigheten CNIL. Klagomålen rörde bland annat automatiserade beslut som kunde koppla bort förare från plattformen. Eftersom Ubers europeiska verksamhet är baserad i Nederländerna hamnade tillsynen hos den nederländska myndigheten.
Systemen användes bland annat för att upptäcka misstänkt bedrägeri. Det kunde handla om att en förare bedömdes ha tagit en onödigt lång omväg för att öka priset på resan eller accepterat körningar utan avsikt att genomföra dem. Låga kundbetyg kunde också påverka tillgången till plattformen.
Uber beskriver även i sina nuvarande riktlinjer hur företaget använder teknik för att upptäcka misstänkt bedrägeri. Exempel som företaget själv lyfter är manipulerad GPS-data, onödigt långa körsträckor och resor som accepteras utan avsikt att genomföras.
Problemet enligt tillsynsmyndigheten var alltså inte att Uber använde mjukvara för att hitta misstänkta beteenden. Det avgörande var vad som hände därefter. När ett automatiserat system i praktiken kan fatta ett beslut som gör att en förare förlorar sin möjlighet att arbeta blir kraven betydligt hårdare.
GDPR kräver mer än en människa på pappret
Här blir artikel 22 i GDPR central. Den ger människor ett skydd mot beslut som enbart grundas på automatiserad behandling när beslutet får rättsliga eller på liknande sätt betydande konsekvenser.
Reglerna innehåller undantag, men när de används måste det finnas skyddsåtgärder. Det kan bland annat innebära möjlighet till mänsklig inblandning, att personen får framföra sin ståndpunkt och att beslutet kan bestridas.
Det är också här fallet blir intressant långt utanför Uber. Det räcker inte nödvändigtvis att ett företag har en människa någonstans i processen. Europeiska dataskyddsmyndigheter har tidigare betonat att den mänskliga kontrollen måste vara meningsfull. En anställd som bara bekräftar det systemet redan har bestämt gör inte automatiskt processen mänsklig.
Den principen kan bli allt viktigare i takt med att företag automatiserar fler beslut om exempelvis bedrägerier, kreditrisk, konton, försäkringar och tillgång till digitala tjänster.
Uber har ändrat hur avstängningar granskas
Uber bestrider myndighetens bild av de äldre systemen och har hävdat att permanenta avstängningar inte genomfördes utan mänsklig kontroll. Företaget anser också att boten är oproportionerligt stor och kommer att överklaga beslutet.
Ubers nuvarande europeiska information beskriver samtidigt en process där manuella granskningar ska ingå när beslut om förarkonton fattas. Förare som förlorar tillgång till kontot kan också begära en ny granskning och skicka in ytterligare material genom Ubers Review Center.
I Ubers egen transparensrapport för Europa beskriver företaget också hur automatiska system används för att upptäcka exempelvis misstänkt bedrägeri, samtidigt som avstängningar och överklaganden omfattas av särskilda granskningsprocesser.
För svenska användare och företag är domen framför allt relevant eftersom samma GDPR-regler gäller i hela EU. Automatisering får användas för att sortera information, identifiera misstänkta beteenden och hjälpa människor att fatta beslut. Men när systemet själv börjar avgöra frågor som påtagligt påverkar en enskild persons ekonomi eller möjlighet att arbeta förändras spelreglerna.
Uber-fallet visar hur dyr den gränsdragningen kan bli. Den verkligt stora konsekvensen kan därför bli mindre hur många miljoner euro Uber till slut behöver betala och större hur europeiska företag bygger sina automatiserade beslutssystem framöver.
