Hva som skjedde
10. september 2026 ila det nederlandske datatilsynet Uber et gebyr på 824 990 000 euro. Mellom 2018 og 2022 fulgte programvare sjåførenes kjøreatferd og kundenes vurderinger: ved mistanke om svindel eller for lave vurderinger ble kontoen deaktivert automatisk, noen ganger midlertidig og ved vedvarende lave vurderinger permanent. Under deaktiveringen mistet sjåføren inntekten fra Uber. Det fantes ingen menneskelig vurdering, og sjåførene fikk ikke tilstrekkelig informasjon. Saken startet med klager fra 171 franske sjåfører, levert via Ligue des droits de l'Homme til CNIL; det nederlandske tilsynet behandlet den fordi Ubers europeiske hovedkontor ligger i Nederland. EDPB omtalte vedtaket 8. oktober.
Uber har stanset bruddene og varslet innsigelse. Selskapet hevder at mennesker var involvert i de permanente deaktiveringene. Dette er det fjerde nederlandske gebyret mot Uber, etter 600 000 euro i 2018, 10 millioner i 2023 og 290 millioner i 2024, og det nest største GDPR-gebyret etter Meta i 2023. Taket er 4 % av global omsetning: i 2025 omsatte Uber for rundt 44,5 milliarder euro.
Hvorfor problemet ikke er algoritmen, men at det mangler et menneske
Artikkel 22 forbyr ikke å bruke en poengsum. Den forbyr å la poengsummen avgjøre alene når avgjørelsen har rettsvirkning eller på lignende måte i betydelig grad påvirker personen. Å miste inntekten fra en dag til en annen er nettopp en slik virkning. Unntakene i nr. 2 (avtale, lov, samtykke) er ikke nok alene: nr. 3 krever uansett retten til menneskelig inngripen, til å uttrykke sitt syn og til å bestride avgjørelsen.
- Menneskelig inngripen må være reell: en person med myndighet og kompetanse til å endre utfallet, ikke noen som godkjenner i bulk.
- Den må finnes før avgjørelsen får virkning, ikke bare som klage i etterkant.
- Kundevurderinger og svindelsignaler er sjåførens personopplysninger, og å kombinere dem er profilering.
- Personvernerklæringen må forklare at det finnes en automatisert avgjørelse, logikken bak og de forventede konsekvensene (artikkel 13 nr. 2 bokstav f).
- Et system som stenger automatisk er behandling med høy risiko: det trengs en vurdering av personvernkonsekvenser før det tas i bruk.
Spørsmålet til kundene dine denne uken
Finnes det et system som sperrer, utelukker eller nedgraderer en person uten at noen ser på det først? Svarene kommer fra uventede steder: CRM-et som sperrer en kunde med restanse, plattformen som utelukker en leverandør under en terskel, personalsystemet som sperrer adgangskortet etter flere avvik, filteret som sorterer bort CV-er. For hvert system trengs tre ting skriftlig: hvem som vurderer avgjørelsen, innen når, og hvordan personen informeres og kan bestride den.
Saken betyr noe også utenfor Nederland. Den ble koordinert med de andre europeiske tilsynene, CNIL samarbeidet med det nederlandske tilsynet, og fra 2. desember 2026 gir plattformarbeidsdirektivet enda strengere regler om menneskelig tilsyn med algoritmiske avgjørelser i EU. Men vedtaket er påklaget: et tydelig signal om hvordan tilsynene leser artikkel 22, ennå ikke fast rett.
I praksis: i behandlingsprotokollen, for hver behandling som bruker poengsummer eller automatiske regler, én linje om det finnes en automatisert avgjørelse etter artikkel 22, hvilket unntak som begrunner den og hvem som vurderer den. Mangler den linjen, er det den første som må skrives: det er den et tilsyn ville spurt om først.
Offisiell kilde:Autoriteit Persoonsgegevens — Uber krijgt boete van bijna 825 miljoen euroOffisiell kilde:EDPB — Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-makingSer du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
