Qué ha pasado
El 10 de septiembre de 2026 la autoridad neerlandesa de protección de datos sancionó a Uber con 824.990.000 euros. Entre 2018 y 2022 un software seguía la conducción de los conductores y las valoraciones de los clientes: si detectaba sospecha de fraude o valoraciones demasiado bajas, desactivaba la cuenta automáticamente, a veces de forma temporal y, con valoraciones bajas persistentes, de forma definitiva. Durante la desactivación el conductor perdía sus ingresos de Uber. No había revisión humana y los conductores no estaban suficientemente informados. El caso nace de las reclamaciones de 171 conductores franceses presentadas a través de la Ligue des droits de l'Homme ante la CNIL; lo tramitó la autoridad neerlandesa porque la sede europea de Uber está en los Países Bajos. El CEPD difundió la resolución el 8 de octubre.
Uber ha puesto fin a las infracciones y ha anunciado que la recurrirá. Sostiene que en las desactivaciones definitivas intervenían personas. Es la cuarta sanción neerlandesa a Uber, tras 600.000 euros en 2018, 10 millones en 2023 y 290 millones en 2024, y la segunda multa RGPD más alta tras la de Meta en 2023. El límite es el 4 % de la facturación mundial: en 2025 Uber facturó unos 44.500 millones.
Por qué el problema no es el algoritmo, sino la ausencia de una persona
El art. 22 no prohíbe usar una puntuación. Prohíbe dejar que la puntuación decida sola cuando la decisión produce efectos jurídicos o afecta de modo similar y significativo a la persona. Perder los ingresos de un día para otro es exactamente ese tipo de efecto. Las excepciones del apartado 2 (contrato, ley, consentimiento) no bastan por sí solas: el apartado 3 exige igualmente el derecho a obtener intervención humana, a expresar el propio punto de vista y a impugnar la decisión.
- La intervención humana debe ser real: una persona con autoridad y competencia para cambiar el resultado, no alguien que confirma en bloque.
- Debe existir antes de que la decisión produzca efectos, no solo como reclamación posterior.
- Las valoraciones de clientes y las señales antifraude son datos personales del conductor, y combinarlas es elaborar perfiles.
- La información debe explicar que existe una decisión automatizada, la lógica aplicada y las consecuencias previstas (art. 13.2.f).
- Un sistema que suspende automáticamente es un tratamiento de alto riesgo: hace falta la evaluación de impacto antes de activarlo.
La pregunta que hacer a los clientes esta semana
¿Hay algún sistema que bloquee, excluya o rebaje a una persona sin que nadie lo mire antes? Las respuestas llegan de sitios inesperados: el CRM que suspende a un cliente moroso, la plataforma que descarta a un proveedor bajo cierto umbral, el sistema de personal que bloquea la tarjeta tras varias anomalías, el filtro que descarta currículos. Para cada uno hacen falta tres cosas por escrito: quién revisa la decisión, en qué plazo y cómo se informa al interesado y cómo puede impugnarla.
El caso importa más allá de los Países Bajos. Se coordinó con las demás autoridades europeas, la CNIL trabajó con la neerlandesa, y desde el 2 de diciembre de 2026 la Directiva sobre el trabajo en plataformas digitales trae normas aún más estrictas sobre supervisión humana de decisiones algorítmicas. Pero sigue siendo una resolución recurrida: es una señal clara de cómo interpretan las autoridades el art. 22, no todavía doctrina consolidada.
En la práctica: en el registro de actividades, para cada tratamiento que use puntuaciones o reglas automáticas, una línea que diga si hay una decisión automatizada del art. 22, qué excepción la justifica y quién la revisa. Si falta esa línea, es la primera que hay que escribir: es la que una autoridad pediría primero.
Fuente oficial:Autoriteit Persoonsgegevens — Uber krijgt boete van bijna 825 miljoen euroFuente oficial:EDPB — Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-making¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
