Wat er is gebeurd
Op 10 september 2026 legde de Autoriteit Persoonsgegevens Uber een boete op van 824.990.000 euro. Tussen 2018 en 2022 volgde software het rijgedrag van chauffeurs en de klantbeoordelingen: bij een fraudevermoeden of te lage beoordelingen werd het account automatisch gedeactiveerd, soms tijdelijk en bij aanhoudend lage beoordelingen permanent. Tijdens de deactivatie viel het inkomen via Uber weg. Er was geen menselijke beoordeling en chauffeurs werden onvoldoende geïnformeerd. De zaak begon met klachten van 171 Franse chauffeurs, via de Ligue des droits de l'Homme ingediend bij de CNIL; de AP deed het onderzoek omdat het Europese hoofdkantoor van Uber in Nederland zit. De EDPB maakte het besluit op 8 oktober bekend.
Uber heeft de overtredingen beëindigd en bezwaar aangekondigd. Het bedrijf stelt dat bij permanente deactivaties mensen betrokken waren. Het is de vierde AP-boete voor Uber, na 600.000 euro in 2018, 10 miljoen in 2023 en 290 miljoen in 2024, en de op één na hoogste AVG-boete ooit, na die aan Meta in 2023. Het maximum is 4% van de wereldwijde jaaromzet: Uber had in 2025 zo'n 44,5 miljard euro omzet.
Waarom het probleem niet het algoritme is, maar de ontbrekende mens
Artikel 22 verbiedt niet om een score te gebruiken. Het verbiedt de score zelfstandig te laten beslissen als het besluit rechtsgevolgen heeft of iemand in aanmerkelijke mate treft. Van de ene op de andere dag geen inkomen meer hebben is precies zo'n gevolg. De uitzonderingen in lid 2 (overeenkomst, wet, toestemming) zijn op zich niet genoeg: lid 3 vereist hoe dan ook het recht op menselijke tussenkomst, het recht om een standpunt kenbaar te maken en het recht het besluit aan te vechten.
- Menselijke tussenkomst moet betekenisvol zijn: iemand met de bevoegdheid en kennis om de uitkomst te veranderen, niet iemand die in bulk afvinkt.
- Ze moet er zijn voordat het besluit gevolgen heeft, niet alleen als klacht achteraf.
- Klantbeoordelingen en fraudesignalen zijn persoonsgegevens van de chauffeur, en ze combineren is profilering.
- De privacyverklaring moet uitleggen dat er geautomatiseerde besluitvorming is, welke logica daarbij speelt en wat de verwachte gevolgen zijn (art. 13 lid 2 onder f).
- Een systeem dat automatisch blokkeert is een verwerking met hoog risico: vóór de ingebruikname is een DPIA nodig.
De vraag aan uw klanten deze week
Is er een systeem dat iemand blokkeert, uitsluit of terugzet zonder dat eerst iemand kijkt? De antwoorden komen uit onverwachte hoeken: het CRM dat een wanbetaler blokkeert, het platform dat een leverancier onder een drempel laat vallen, het personeelssysteem dat na een aantal afwijkingen de pas blokkeert, het filter dat cv's wegfiltert. Leg voor elk systeem drie dingen vast: wie het besluit beoordeelt, binnen welke termijn, en hoe de betrokkene wordt geïnformeerd en bezwaar kan maken.
De zaak is van belang buiten Nederland. Het besluit is afgestemd met de andere Europese toezichthouders, de CNIL werkte nauw met de AP samen, en vanaf 2 december 2026 brengt de richtlijn platformwerk nog strengere regels voor menselijk toezicht op algoritmische besluiten. Het blijft wel een besluit waartegen bezwaar loopt: een sterk signaal over hoe toezichthouders artikel 22 lezen, nog geen vaste rechtspraak.
In de praktijk: in het verwerkingsregister, voor elke verwerking die scores of automatische regels gebruikt, één regel die zegt of er sprake is van geautomatiseerde besluitvorming in de zin van artikel 22, welke uitzondering die rechtvaardigt en wie het besluit beoordeelt. Ontbreekt die regel, dan is dat de eerste om te schrijven: daar zou een toezichthouder het eerst naar vragen.
Officiële bron:Autoriteit Persoonsgegevens — Uber krijgt boete van bijna 825 miljoen euroOfficiële bron:EDPB — Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-makingZoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
