Vad som hände
Den 10 september 2026 påförde den nederländska dataskyddsmyndigheten Uber en sanktionsavgift på 824 990 000 euro. Mellan 2018 och 2022 följde programvara förarnas körbeteende och kundernas betyg: vid misstänkt bedrägeri eller för låga betyg stängdes kontot automatiskt, ibland tillfälligt och vid ihållande låga betyg permanent. Under avstängningen förlorade föraren sina inkomster via Uber. Det fanns ingen mänsklig prövning och förarna informerades inte tillräckligt. Ärendet började med klagomål från 171 franska förare som Ligue des droits de l'Homme lämnade in till CNIL; den nederländska myndigheten handlade det eftersom Ubers europeiska huvudkontor ligger i Nederländerna. EDPB publicerade beslutet den 8 oktober.
Uber har upphört med överträdelserna och aviserat invändning. Företaget hävdar att människor var inblandade i de permanenta avstängningarna. Det är den fjärde nederländska sanktionen mot Uber, efter 600 000 euro 2018, 10 miljoner 2023 och 290 miljoner 2024, och den näst största GDPR-sanktionen efter Meta 2023. Taket är 4 % av den globala omsättningen: 2025 omsatte Uber omkring 44,5 miljarder euro.
Varför problemet inte är algoritmen, utan att det saknas en människa
Artikel 22 förbjuder inte att använda ett poängvärde. Den förbjuder att låta poängvärdet avgöra ensamt när beslutet har rättsliga följder eller på liknande sätt i betydande grad påverkar personen. Att förlora sin inkomst från en dag till en annan är just en sådan följd. Undantagen i punkt 2 (avtal, lag, samtycke) räcker inte ensamma: punkt 3 kräver ändå rätt till mänskligt ingripande, att framföra sin synpunkt och att bestrida beslutet.
- Det mänskliga ingripandet måste vara verkligt: en person med befogenhet och kompetens att ändra utfallet, inte någon som godkänner i klump.
- Det måste finnas innan beslutet får verkan, inte bara som klagomål i efterhand.
- Kundbetyg och bedrägerisignaler är förarens personuppgifter, och att kombinera dem är profilering.
- Integritetsinformationen måste förklara att det förekommer automatiserat beslutsfattande, logiken bakom och de förutsedda följderna (artikel 13.2 f).
- Ett system som stänger av automatiskt är en behandling med hög risk: en konsekvensbedömning behövs innan det tas i drift.
Frågan att ställa till kunderna den här veckan
Finns det ett system som spärrar, utesluter eller nedgraderar en person utan att någon tittar först? Svaren kommer från oväntade håll: CRM-systemet som spärrar en kund med obetalda fakturor, plattformen som sorterar bort en leverantör under en tröskel, personalsystemet som spärrar passerkortet efter ett antal avvikelser, filtret som sorterar bort cv:n. För varje system behövs tre saker skriftligt: vem som prövar beslutet, inom vilken tid och hur personen informeras och kan bestrida det.
Fallet har betydelse utanför Nederländerna. Det samordnades med de andra europeiska myndigheterna, CNIL samarbetade med den nederländska myndigheten, och från den 2 december 2026 ger plattformsarbetsdirektivet ännu strängare regler om mänsklig tillsyn över algoritmiska beslut. Men beslutet är överklagat: en tydlig signal om hur myndigheterna läser artikel 22, ännu inte fastlagd rätt.
I praktiken: i registret över behandlingar, för varje behandling som använder poängvärden eller automatiska regler, en rad som anger om det finns ett automatiserat beslut enligt artikel 22, vilket undantag som motiverar det och vem som prövar det. Saknas den raden är det den första att skriva: det är den en myndighet skulle fråga efter först.
Officiell källa:Autoriteit Persoonsgegevens — Uber krijgt boete van bijna 825 miljoen euroOfficiell källa:EDPB — Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-makingSöker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
