Che cosa è successo
Il 10 settembre 2026 l'autorità olandese per la protezione dei dati ha sanzionato Uber per 824.990.000 euro. Tra il 2018 e il 2022 un software seguiva il comportamento di guida degli autisti e le valutazioni dei clienti: se rilevava un sospetto di frode o valutazioni troppo basse, disattivava l'account in automatico, a volte in modo temporaneo, in caso di valutazioni basse persistenti in modo definitivo. Durante la disattivazione l'autista perdeva il reddito da Uber. Non c'era un esame umano, e gli autisti non erano informati a sufficienza. Il caso nasce dai reclami di 171 autisti francesi presentati tramite la Ligue des droits de l'Homme alla CNIL; l'ha istruito l'autorità olandese perché la sede europea di Uber è nei Paesi Bassi. L'EDPB ha ripreso la decisione l'8 ottobre.
Uber ha cessato le violazioni e ha annunciato opposizione. Sostiene che nelle disattivazioni definitive fossero coinvolte delle persone. È la quarta sanzione olandese a Uber, dopo 600.000 euro nel 2018, 10 milioni nel 2023 e 290 milioni nel 2024, e la seconda multa GDPR più alta di sempre dopo quella a Meta del 2023. Il tetto è il 4% del fatturato mondiale: nel 2025 Uber ha fatturato circa 44,5 miliardi.
Perché il problema non è l'algoritmo, ma l'assenza di una persona
L'art. 22 non vieta di usare un punteggio. Vieta di lasciare che il punteggio decida da solo quando la decisione produce effetti giuridici o incide in modo analogo e significativo sulla persona. Perdere il reddito da un giorno all'altro è esattamente quel tipo di effetto. Le eccezioni del par. 2 (contratto, legge, consenso) non bastano da sole: il par. 3 chiede comunque il diritto di ottenere l'intervento umano, di esprimere la propria opinione e di contestare la decisione.
- L'intervento umano deve essere reale: una persona che ha l'autorità e la competenza per cambiare l'esito, non qualcuno che conferma in blocco.
- Va previsto prima che la decisione produca effetti, non solo come reclamo a posteriori.
- Valutazioni dei clienti e segnali antifrode sono dati personali dell'autista, e la loro combinazione è profilazione.
- L'informativa deve spiegare che esiste una decisione automatizzata, la logica utilizzata e le conseguenze previste (art. 13, par. 2, lett. f).
- Un sistema che sospende in automatico è un trattamento ad alto rischio: serve la valutazione d'impatto prima di attivarlo.
La domanda da fare ai propri clienti questa settimana
C'è un sistema che blocca, esclude o declassa una persona senza che qualcuno lo guardi prima? Le risposte arrivano da posti inattesi: il CRM che sospende un cliente moroso, la piattaforma che esclude un fornitore sotto una certa soglia, il gestionale del personale che blocca il badge dopo un certo numero di anomalie, il filtro che scarta i curriculum. Per ognuno servono tre cose scritte: chi rivede la decisione, entro quando, e come l'interessato viene informato e può contestare.
Il caso conta anche oltre i Paesi Bassi. È stato coordinato con le altre autorità europee, la CNIL ha lavorato con quella olandese, e dal 2 dicembre 2026 la direttiva sul lavoro mediante piattaforme digitali porta regole ancora più strette sulla supervisione umana delle decisioni algoritmiche. Ma resta una decisione impugnata: va letta come indicazione forte di come le autorità interpretano l'art. 22, non ancora come diritto consolidato.
In pratica: nel registro dei trattamenti, per ogni trattamento che usa punteggi o regole automatiche, una riga che dica se c'è una decisione automatizzata ai sensi dell'art. 22, quale eccezione la giustifica e chi è la persona che la rivede. Se quella riga manca, è la prima da scrivere: è quella che un'autorità chiederebbe per prima.
Fonte ufficiale:Autoriteit Persoonsgegevens — Uber krijgt boete van bijna 825 miljoen euroFonte ufficiale:EDPB — Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-makingStai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
