荷兰数据保护局对Uber罚款8.2499亿欧元：算法自动停用司机账户违反GDPR第22条，创自动化决策罚款纪录

AP认定Uber在2018至2022年间用软件追踪司机驾驶行为与乘客评价，当软件识别到疑似欺诈即临时停用账户，当评分持续偏低则永久停用账户，两类决定均由软件作出而无人工衡量。AP认为这些决定属于仅基于自动化处理、对数据主体产生法律效果或类似重大影响（即丧失收入来源）的决定，落入GDPR第22条第1款的禁止范围；同时违反第13—15条的透明度义务，未充分告知自动化决策的存在与运作方式。AP副主席的表述是：“司机被毫无回旋余地地停用，转瞬之间便无法通过Uber获得收入，这是被禁止的。”AP称相关做法此后已改变。

程序上，案件始于171名法国司机向法国人权联盟投诉并转至CNIL；因Uber欧洲总部位于阿姆斯特丹，AP依据一站式机制牵头调查，并与法国及其他欧洲监管机构协调。Uber已对决定提起上诉，并表示强烈不认同认定结论与罚款金额；其此前还就AP在2023年、2024年作出的1000万欧元与2.9亿欧元罚款继续争议，均未最终解决。

金额层面，8.2499亿欧元约为Uber 2025年445亿欧元全球营业额的1.85%，相对4%的法定上限接近一半。值得注意的是，该案既不涉及数据泄露，也不涉及跨境传输或同意横幅，罚款直接指向一种处理设计选择。在欧洲GDPR执法统计中，该罚单金额仅次于2023年对Meta的12亿欧元。

对平台用工及更广泛的企业而言，核心争议落在“人工介入”的实质标准。WP251 rev.01指南早已明确，象征性的人工参与不构成有效介入，人工审查者须具备改变决定的权限与能力。AP此次为“能够推翻决定的人”与“只处理决定后果的人”之间的差异标出了九位数价格。企业在使用自动化分派、准入控制、欺诈检测、资格筛选等系统时，应识别可能产生重大影响的高风险自动化决定、记录向受影响个人的告知内容，并审查人工复核在实际工作流中是否真实有效。