Decisione automatizzata: a Uber multa di quasi 825 milioni

L'atto: EUR 824 990 000 per gli articoli 22 e 13 del GDPR

Una sanzione amministrativa di EUR 824 990 000 colpisce Uber B.V.^[1] per decisione automatizzata illecita e per informazione carente sulla profilazione. La infligge l'Autoriteit Persoonsgegevens (AP), l'autorità olandese per la protezione dei dati, secondo la scheda pubblicata dall'EDPB l'8 ottobre 2026.

La scheda in sintesi:

• Titolare: Uber B.V.
• Autorità: AP (Paesi Bassi), competente nella procedura One-Stop-Shop del GDPR perché la sede europea di Uber è nei Paesi Bassi.
• Norme: articolo 22 (decisione individuale automatizzata, profilazione inclusa) e articolo 13 (informazioni da dare all'interessato) del Regolamento (UE) 2016/679, applicabile dal 25 maggio 2018 in tutta l'Unione.
• Fatti: episodi avvenuti tra il 2018 e il 2022.
• Origine: reclami di 171 driver francesi, presentati alla CNIL tramite la Ligue des droits de l'Homme.
• Stato: Uber ha impugnato la sanzione; manca una decisione giudiziaria definitiva.

Che cosa ha accertato l'autorità olandese

Il fatto accertato è circoscritto. Con un sospetto di frode o con recensioni dei clienti troppo basse, l'account del driver veniva disattivato in automatico per un periodo. Con recensioni basse in modo persistente, la disattivazione diventava permanente.

Per tutta la durata del blocco il driver perdeva il reddito ricavato tramite Uber.

L'AP qualifica queste scelte come decisioni interamente automatizzate e le colloca dentro il divieto dell'articolo 22 del GDPR. Accerta poi una seconda violazione: Uber ha informato i driver in misura insufficiente sul processo automatico.

La scheda EDPB precisa che Uber ha ormai cessato le violazioni.

Dal principio astratto a un caso con importo

L'articolo 22 vieta, in via generale, di sottoporre una persona a una decisione fondata unicamente su un trattamento automatizzato, quando essa produce effetti giuridici o incide in modo analogo e significativo. Il testo lascia aperto dove passi la soglia dell'effetto significativo.

Questo atto colloca un punto preciso sulla mappa. Per l'AP, il blocco temporaneo di un account di lavoro con perdita di reddito supera già quella soglia. La chiusura permanente la supera allo stesso titolo.

Due elementi del perimetro pesano più degli altri:

• I segnali d'innesco. Un sospetto di frode e un punteggio di recensioni bastano, per l'autorità, a fondare una decisione vietata quando l'esito scatta in automatico.
• La durata. Una misura a tempo conta quanto una definitiva: la perdita di reddito durante il blocco è l'effetto rilevante.

Resta la lettura di un'autorità capofila. È sotto appello. Il giudice dell'impugnazione può confermarla o riformarla.

Chi risponde quando decide il sistema

La sanzione ha un destinatario: il titolare del trattamento, Uber B.V. L'algoritmo esegue; la società risponde.

Il caso mostra anche la portata della procedura One-Stop-Shop. Reclami nati in Francia, raccolti da un'associazione e depositati alla CNIL, sono stati decisi nei Paesi Bassi, dove ha sede il quartier generale europeo del gruppo. Un'organizzazione con sede principale in uno Stato membro risponde lì per trattamenti che toccano persone in altri Stati.

C'è infine il dato temporale: fatti del periodo 2018-2022, atto reso noto a ottobre 2026. La cessazione della condotta, registrata dalla stessa scheda, convive con la sanzione piena.

Tre scelte che l'atto porta in consiglio

1. Inventario. Quali processi sospendono, bloccano o chiudono un rapporto con una persona tramite un esito automatico? L'elenco include le misure temporanee, che l'AP tratta come decisioni a pieno titolo.
2. Intervento umano. In quale punto del flusso una persona con potere effettivo esamina il caso prima che l'effetto si produca? Il General Counsel verifica quale base dell'articolo 22, paragrafo 2, regge ciascun processo e quali tutele del paragrafo 3 sono attive.
3. Informativa. Il testo dato agli interessati in base all'articolo 13 descrive l'esistenza del processo automatizzato, la logica usata e le conseguenze previste? La seconda violazione contestata a Uber riguarda proprio questo documento.

Per ciascuna voce vale la stessa domanda: quale ruolo ne risponde, per nome e per iscritto, prima che il sistema entri in produzione?

Stato dell'atto e date note

• GDPR, articoli 22 e 13: in vigore, applicabili dal 25 maggio 2018, giurisdizione Unione europea.
• Sanzione AP a Uber B.V.: inflitta e impugnata; il giudicato definitivo manca.
• Calendario dell'appello: la scheda EDPB tace sulle date.

Fino alla pronuncia del giudice, la lettura dell'AP è la posizione dell'autorità capofila sul blocco automatico di un account di lavoro.