Co się stało
10 września 2026 r. holenderski organ ochrony danych nałożył na Ubera karę 824 990 000 euro. W latach 2018–2022 oprogramowanie śledziło styl jazdy kierowców i oceny klientów: gdy wykryło podejrzenie oszustwa lub zbyt niskie oceny, automatycznie wyłączało konto, czasem tymczasowo, a przy utrzymujących się niskich ocenach na stałe. W czasie dezaktywacji kierowca tracił dochód z Ubera. Nie było oceny przez człowieka, a kierowcy nie byli wystarczająco informowani. Sprawa zaczęła się od skarg 171 francuskich kierowców złożonych za pośrednictwem Ligue des droits de l'Homme do CNIL; prowadził ją organ holenderski, bo europejska siedziba Ubera jest w Holandii. EROD opublikowała decyzję 8 października.
Uber zaprzestał naruszeń i zapowiedział sprzeciw. Twierdzi, że przy trwałych dezaktywacjach uczestniczyli ludzie. To czwarta holenderska kara dla Ubera, po 600 000 euro w 2018 r., 10 mln w 2023 r. i 290 mln w 2024 r., oraz druga najwyższa kara z RODO po karze dla Mety z 2023 r. Górny limit to 4% światowego obrotu: w 2025 r. Uber miał około 44,5 mld euro obrotu.
Problemem nie jest algorytm, tylko brak człowieka
Art. 22 nie zakazuje korzystania z wyniku punktowego. Zakazuje pozwolić, by wynik decydował sam, gdy decyzja wywołuje skutki prawne lub w podobny sposób istotnie wpływa na osobę. Utrata dochodu z dnia na dzień to właśnie taki skutek. Wyjątki z ust. 2 (umowa, prawo, zgoda) same nie wystarczają: ust. 3 i tak wymaga prawa do interwencji człowieka, do wyrażenia własnego stanowiska i do zakwestionowania decyzji.
- Interwencja człowieka musi być rzeczywista: osoba z uprawnieniami i kompetencjami do zmiany wyniku, a nie ktoś, kto zatwierdza hurtem.
- Musi być możliwa, zanim decyzja wywoła skutki, a nie tylko jako skarga po fakcie.
- Oceny klientów i sygnały antyfraudowe to dane osobowe kierowcy, a ich łączenie to profilowanie.
- Klauzula informacyjna musi wyjaśniać, że istnieje zautomatyzowana decyzja, jaka jest jej logika i jakie są przewidywane konsekwencje (art. 13 ust. 2 lit. f).
- System, który automatycznie zawiesza, to przetwarzanie wysokiego ryzyka: przed uruchomieniem potrzebna jest ocena skutków.
Pytanie do klientów w tym tygodniu
Czy jest system, który blokuje, wyklucza lub obniża status osoby, zanim ktoś na to spojrzy? Odpowiedzi przychodzą z nieoczekiwanych miejsc: CRM zawieszający zalegającego klienta, platforma odrzucająca dostawcę poniżej progu, system kadrowy blokujący kartę po kilku nieprawidłowościach, filtr odrzucający CV. Dla każdego trzeba spisać trzy rzeczy: kto weryfikuje decyzję, w jakim terminie oraz jak osoba jest informowana i jak może ją zakwestionować.
Sprawa ma znaczenie poza Holandią. Była koordynowana z innymi europejskimi organami, CNIL współpracował z organem holenderskim, a od 2 grudnia 2026 r. dyrektywa w sprawie pracy za pośrednictwem platform wprowadza jeszcze ostrzejsze zasady nadzoru człowieka nad decyzjami algorytmów. To jednak decyzja zaskarżona: mocny sygnał, jak organy czytają art. 22, ale jeszcze nie utrwalone prawo.
W praktyce: w rejestrze czynności, dla każdego przetwarzania korzystającego z wyników punktowych lub reguł automatycznych, jedna linia o tym, czy występuje zautomatyzowana decyzja w rozumieniu art. 22, jaki wyjątek ją uzasadnia i kto ją weryfikuje. Jeśli tej linii brakuje, to ją trzeba napisać najpierw: o nią organ zapytałby jako pierwszą.
Źródło urzędowe:Autoriteit Persoonsgegevens — Uber krijgt boete van bijna 825 miljoen euroŹródło urzędowe:EDPB — Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-makingSzukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
