Algorytm blokował kierowców bez udziału człowieka. Uber dostał 825 mln euro kary

Automatyzacja kusi: system sam wykrywa podejrzane konta, sam ocenia klientów i sam podejmuje decyzje. Szybko, tanio, bez angażowania ludzi. Sprawa Ubera pokazuje jednak, że gdy taka decyzja mocno wpływa na życie człowieka, RODO stawia automatom wyraźne granice. Holenderski organ ochrony danych, Autoriteit Persoonsgegevens (AP), nałożył na firmę karę w wysokości 824 990 000 euro, czyli blisko 825 mln euro.

Czego dotyczyła sprawa

Według ustaleń AP Uber podejmował w pełni automatyczne decyzje dotyczące kierowców. Gdy system podejrzewał oszustwo albo gdy oceny od klientów były zbyt niskie, konto kierowcy było automatycznie, czasowo dezaktywowane. Przy utrzymujących się słabych ocenach dezaktywacja stawała się trwała. Dla kierowcy oznaczało to jedno: w czasie blokady tracił dochód uzyskiwany przez platformę.

Sprawa dotyczyła zdarzeń z lat 2018-2022. Zaczęła się od skarg 171 francuskich kierowców, które za pośrednictwem organizacji Ligue des droits de l'Homme trafiły do francuskiego organu CNIL. Ponieważ europejska siedziba Ubera znajduje się w Holandii, postępowanie prowadził holenderski urząd w ramach mechanizmu kompleksowej współpracy (tzw. one-stop-shop).

Dwa zarzuty: decyzje bez człowieka i brak informacji

AP wskazał dwa naruszenia RODO:

• Zakaz w pełni zautomatyzowanych decyzji (art. 22 RODO). Przepis ten chroni ludzi przed sytuacją, w której decyzja wywołująca wobec nich skutki prawne lub podobnie istotne zapada wyłącznie w wyniku automatycznego przetwarzania, w tym profilowania. Utrata możliwości zarobkowania to dokładnie taki istotny skutek.
• Obowiązek informacyjny (art. 13 RODO). Według urzędu kierowcy nie byli w wystarczającym stopniu informowani o tym, że decyzje wobec nich podejmuje automat.

Jak podała Europejska Rada Ochrony Danych, Uber zaprzestał już naruszeń. Firma odwołała się jednak od kary i nie ma jeszcze prawomocnego rozstrzygnięcia sądowego. Ostateczny los sankcji jest więc otwarty.

Czy to problem tylko wielkich platform?

Nie. Kwota jest liczona od skali działalności Ubera, ale sama zasada dotyczy każdego administratora danych. W polskich firmach zautomatyzowane decyzje pojawiają się częściej, niż się wydaje:

• sklep internetowy automatycznie blokuje konto klienta, bo system antyfraudowy uznał zamówienie za podejrzane,
• platforma marketplace wyłącza sprzedawcę po spadku ocen poniżej progu,
• system automatycznie odrzuca wniosek o zakupy na raty albo odroczoną płatność,
• aplikacja dla współpracowników przydziela lub odbiera zlecenia na podstawie wskaźników.

Nie każda taka sytuacja jest od razu zakazana. Kluczowe pytania brzmią: czy decyzja zapada bez żadnego udziału człowieka i czy ma dla tej osoby poważne konsekwencje. Jeśli na oba odpowiadasz „tak”, warto przyjrzeć się procesowi bliżej, najlepiej z prawnikiem.

Zwróć też uwagę, skąd wzięła się ta sprawa. Nie zainicjował jej urząd z własnej inicjatywy, tylko grupa osób, które poczuły się potraktowane niesprawiedliwie i zorganizowały się z pomocą organizacji społecznej. Skargi złożone w jednym kraju doprowadziły do postępowania w innym. Dla firmy oznacza to, że niezadowolony klient czy współpracownik, który nie rozumie, dlaczego go zablokowano, może stać się początkiem kontroli. Przejrzystość i możliwość wyjaśnienia sprawy z człowiekiem często rozbrajają konflikt, zanim trafi on do regulatora.

Druga lekcja dotyczy czasu. Naruszenia opisane w decyzji miały miejsce w latach 2018-2022, a kara zapadła kilka lat później. Ryzyko związane z dzisiejszymi ustawieniami systemu nie znika więc po ich zmianie, bo urząd może badać przeszłość.

Jak bezpiecznie korzystać z automatyzacji

1. Zrób listę decyzji podejmowanych przez systemy. Uwzględnij blokady kont, scoring, odrzucanie zamówień i automatyczne wyłączenia. Przy każdej zapisz, jaki ma skutek dla klienta lub współpracownika.
2. Wprowadź realny udział człowieka. Nie chodzi o formalne „klikanie zatwierdź”. Osoba weryfikująca powinna mieć dostęp do danych, czas na analizę i możliwość zmiany decyzji.
3. Daj możliwość odwołania. Klient lub kierowca, którego konto zablokowano, powinien wiedzieć, jak zakwestionować decyzję i komu przedstawić swoje stanowisko.
4. Opisz automatyzację w polityce prywatności. Wyjaśnij prostym językiem, że stosujesz profilowanie lub automatyczne decyzje, w jakim celu i jakie mogą mieć konsekwencje. Ogólnik w stylu „dane mogą być przetwarzane automatycznie” nie wystarczy.
5. Regularnie sprawdzaj wyniki. Progi ocen i reguły antyfraudowe potrafią działać niesprawiedliwie, np. karać za złe oceny niezależne od danej osoby. Okresowy przegląd pozwala wyłapać takie błędy.

Profilowanie na stronie też wymaga przejrzystości

Sprawa Ubera dotyczy decyzji o kierowcach, ale słowo „profilowanie” ma znaczenie także dla marketerów. Profilowanie odwiedzających stronę w celach reklamowych, np. przez piksele i narzędzia remarketingowe, wymaga przejrzystej informacji i zgody użytkownika na pliki cookie, które nie są niezbędne. Użytkownik powinien wiedzieć, co się z nim dzieje, zanim to się stanie. Wspólny mianownik obu sytuacji jest prosty: ludzie mają prawo rozumieć, w jaki sposób dane o ich zachowaniu wpływają na to, co ich spotyka, czy chodzi o blokadę konta, czy o wyświetlaną reklamę.

Jeśli chcesz uporządkować ten obszar, zacznij od rzetelnej polityki prywatności, która opisuje rzeczywiste przetwarzanie, oraz od banera, który faktycznie blokuje narzędzia śledzące do momentu wyrażenia zgody. W CookieBanerPro możesz przygotować jedno i drugie, a w Skanerze zgody sprawdzisz, czy Twoja strona nie uruchamia skryptów reklamowych za wcześnie.

Źródło: EDPB

RODOkaryprofilowanieautomatyzacjaUber