Uber bötfälls med 825 miljoner euro för avstängningar utan mänsklig bedömning

Mjukvara avgjorde när en Uber-förare slutade tjäna pengar, och ingen granskade utfallet. Den nederländska dataskyddsmyndigheten Autoriteit Persoonsgegevens har nu satt ett pris på det: 824 990 000 euro. Det är den näst största bot som någonsin utfärdats under GDPR, efter de 1,2 miljarder euro som Irland ålade Meta 2023.

Beslutet publicerades den 21 augusti 2026. Mellan 2018 och 2022 använde Uber system som följde förarnas körbeteende och kundernas omdömen. När mjukvaran flaggade för misstänkt bedrägeri, eller för omdömen den bedömde som för låga, stängdes kontot av automatiskt. Först tillfälligt. Permanent när de låga omdömena höll i sig. Ingen människa granskade utfallet i något led, och inkomsten via plattformen upphörde i samma stund.

Monique Verdier, vice ordförande i AP, var rak i myndighetens uttalande: ”A computer should not make decisions on its own that have major consequences.” Uber har enligt AP slutat med förfarandet.

Ärendet byggdes i Paris

Utredningen inleddes inte i Nederländerna. Enligt AP vände sig 171 franska förare till människorättsorganisationen Ligue des droits de l’Homme, som lämnade in ett klagomål till den franska tillsynsmyndigheten CNIL för deras räkning. Eftersom Ubers europeiska huvudkontor ligger i Amsterdam gick ärendet till AP som ansvarig tillsynsmyndighet enligt one-stop shop-mekanismen. Samma klagomål ligger bakom de två tidigare nederländska besluten mot bolaget: 10 miljoner euro 2023 för otydliga lagringstider och försvårad tillgång till egna uppgifter, och 290 miljoner euro 2024 för överföring av förares uppgifter till USA.

AP har nu bötfällt Uber fyra gånger: 600 000 euro 2018, 10 miljoner 2023, 290 miljoner 2024 och 824 990 000 euro 2026. Sammanlagt 1 125 590 000 euro i nominella belopp.

Så landade siffran på 824 990 000 euro

Sanktionsavgifter enligt GDPR har ett tak på 4 % av den globala årsomsättningen. AP anger Ubers globala omsättning 2025 till omkring 44,5 miljarder euro, vilket lägger taket kring 1,78 miljarder. Boten motsvarar ungefär 1,85 % av omsättningen, knappt hälften av vad myndigheten kunde ha beslutat om.

En jämförelse ger proportionerna. Samtliga dataskyddsmyndigheter inom EES utfärdade tillsammans 1 145 760 374 euro i GDPR-böter under hela 2025, enligt Europeiska dataskyddsstyrelsens årsrapport som publicerades den 9 april 2026. Det här enskilda beslutet motsvarar ungefär 72 % av den summan. Den nederländska myndigheten stod själv för 353,4 miljoner euro av den, fördelat på 42 tillsynsärenden. AP bötfäller sällan och bötfäller hårt. Det är en vald hållning, inte en följd av ärendemängden.

Det andra konstaterandet får mindre uppmärksamhet och är lättare att gå bet på. AP fann att Uber inte informerade förarna tillräckligt om att automatiserat beslutsfattande över huvud taget förekom. Ett avstängningsmeddelande är ingen förklaring. Artiklarna 13 och 14 kräver besked om logiken bakom behandlingen och om vad den gör med den som drabbas.

Utfärdat är inte indrivet

Uber överklagar. Bolaget kallar beloppet oproportionerligt och pekar på sina nuvarande rutiner, där en permanent avaktivering går via en människa och föraren kan invända mot den. Till Associated Press uppgav bolaget att myndigheten granskat ”historic policies that were discontinued years ago”. Uber bestrider dessutom fortfarande besluten från 2023 och 2024, vilket gör att tre av fyra beslut mot bolaget är öppna samtidigt.

Det väger tyngre än rubriksumman antyder. En genomgång publicerad i maj 2026 placerar närmare 40 % av de 7,1 miljarder euro som utfärdats i GDPR-böter i en av två högar: upphävda, eller fortfarande under prövning. En domstol i Rom rev upp en bot på 15 miljoner euro mot OpenAI på jurisdiktionsgrunder. Amazons bot på 746 miljoner euro gick tillbaka till myndigheten efter att en domstol i Luxemburg ingripit. Betrakta 824 990 000 euro som ett utgångsbud, inte som en betalning.

Rättsläget rör sig också under beslutet. EU-kommissionens Digital Omnibus, publicerad den 19 november 2025, skulle göra om artikel 22 från en rättighet för den enskilde till en lista över villkor då automatiserad behandling är tillåten, och slår rakt ut fast att ett erbjudet mänskligt alternativ inte hindrar en personuppgiftsansvarig från att låta maskinen avgöra ensam. Hade den texten gällt mellan 2018 och 2022 hade AP fört en annan talan.

Sverige har till 2 december

EU:s plattformsdirektiv ska vara genomfört i nationell rätt senast den 2 december 2026, och det reglerar algoritmisk verksamhetsledning direkt i stället för via dataskyddsprinciper. Den svenska utredningen, med justitierådet Jonas Malmberg som särskild utredare, lämnade betänkandet SOU 2026:3 i januari 2026 och föreslår en ny lag om plattformsarbete.

Kapitel 3 i förslaget rör dataskydd vid algoritmisk verksamhetsledning och ligger under IMY:s tillsyn. Kapitel 4 är den del som färre svenska plattformar har räknat på: en digital arbetsplattform som är arbetsgivare ska förhandla med berörd arbetstagarorganisation innan den inför eller ändrar ett automatiserat övervaknings- eller beslutssystem, lämna över konsekvensbedömningen avseende dataskydd, och minst vartannat år skriftligen utvärdera hur de automatiserade besluten påverkar dem som berörs. Plattformar med fler än 250 anställda betalar kostnaden för organisationens expert.

Svenskt Näringsliv skrev i sitt remissvar i april 2026 att reglerna om algoritmisk verksamhetsledning är mycket ingripande, innehåller ett stort antal administrativa skyldigheter och överlappar med krav som redan följer av GDPR och AI-förordningen. Invändningen gäller överimplementering, inte direktivet i sig. Datumet påverkas inte, och avtal som ingåtts före den 2 december 2026 och fortfarande löper den dagen omfattas.

Testet gäller långt utanför taxiappar

Inget i AP:s resonemang bygger på taxiverksamhet, och inte heller på om ett system kallas AI. Det avgörande är om utfallet lägger en verklig konsekvens på en identifierbar person. Nekad kredit, spärrade konton vid bedrägerimisstanke, automatisk avstängning, behörighetsprövning och indragen åtkomst ligger inom den ramen. Österrikes tillsynsmyndighet kom till samma slutsats om automatiserade kreditscoringindikatorer i september 2025, och i november ålade en tysk förvaltningsdomstol Schufa att visa hur ett enskilt poängtal räknas fram.

AP:s utkast till vägledning om betydelsefull mänsklig inblandning, som gick ut på samråd i mars 2025, ger ett test värt att köra internt den här veckan. Den som granskar ett automatiserat utfall behöver mandatet att riva upp det, och behöver riva upp det när ärendet kräver det. En granskare som aldrig har sagt nej utgör ingen granskning. Ta reda på vem som har det mandatet hos er, och fråga hur många gånger det har använts.