L’autorità olandese per la protezione dei dati ha sanzionato con 824,99 milioni di euro la piattaforma statunitense di trasporto Uber, contestando la disattivazione automatizzata degli account dei conducenti. Si tratta della seconda sanzione più alta mai applicata in base al regolamento europeo sulla protezione dei dati.
La vicenda descrive un meccanismo che chi assiste imprese digitali incontra con una frequenza quotidiana quasi monotona.
Indice degli argomenti
Uber e le decisioni automatizzate delle piattaforme
Un sistema di controllo automatico analizza segnali di comportamento, segnalazioni ricevute, parametri di rischio calcolati su base statistica e, quando un indicatore supera la soglia impostata, la misura scatta da sola, senza verifica umana. L’account viene quindi limitato o disattivato nell’istante stesso in cui la decisione matura, quindi il titolare scopre l’accaduto aprendo l’applicazione e trovandosi fuori.
Ma non basta, perché la comunicazione che arriva, quando arriva, rinvia genericamente a una violazione delle condizioni d’uso, senza indicare la condotta contestata, la data in cui si sarebbe verificata o l’elemento da cui il sistema ha tratto la propria conclusione.
La difficoltà di ricorrere contro una sospensione
Chi riceve quel messaggio si trova nella posizione di poter replicare con l’unico strumento disponibile che si ritrova: un modulo standard che riporta la pratica dentro lo stesso circuito automatico che ha prodotto la sospensione, spesso con un esito identico e generato nel giro di pochi minuti.
Non è certamente una prerogativa di Uber. Nell’ecosistema digitale di oggi, quasi tutte le aziende e i professionisti lavorano grazie alle piattaforme o tramite le piattaforme. Che sia Uber per gli autisti, Instagram per gli e-commerce, Meta per i professionisti del marketing, Gmail per i professionisti, One Drive per gli avvocati, qualsiasi decisione presa dalle piattaforme è quasi sempre affidata ad algoritmi, di immediata esecuzione e con una difficoltà di ricorso (interno o giudiziario che sia) che scoraggia anche il professionista più agguerrito.
La commissione Europea ha spesso raccontato questa dipendenza delle imprese dalle grandi piattaforme, senza le quali si entra in una situazione di sofferenza d’impresa, spesso a causa di una decisione automatizzata.
L’ha raccontato e l’ha messo nero su bianco in numerosi regolamenti e direttive che, però, soffrono di un mancato enforcement cronico. Poi arriva l’Olanda, Uber, e sembra una decisione rivoluzionaria.
Casi pratici
Nella nostra attività professionale abbiamo seguito brand strutturati che si sono visti bloccare il profilo Instagram da un momento all’altro, senza una comunicazione che spiegasse quale contenuto o quale condotta avesse innescato il blocco, con danni immediati sulle campagne attive e sulle vendite collegate al canale social.
Lo stesso è accaduto a e-commerce che avevano costruito una parte rilevante del proprio traffico sulle inserzioni, ritrovandosi il business manager sospeso e la spesa pubblicitaria congelata nel pieno di una stagione commerciale.
Vale per i freelance che lavorano con gli strumenti pubblicitari delle grandi piattaforme, che arrivano disperati perché perdono il lavoro da un giorno all’altro, per i creator che perdono l’accesso alla community costruita in anni di pubblicazioni e devono reinventarsi professionalmente da zero e per i venditori dei marketplace che vedono sparire l’account mentre gli ordini restano da evadere, con un copione che si ripete quasi sempre uguale, fatto di comunicazione standardizzata, riferimento generico alla violazione delle condizioni d’uso e modulo di ricorso che rimanda a un altro sistema automatico.
E’ proprio questo che viene contestato ad Uber e si tratta di una decisione scalabile, potenzialmente replicabile a tutte le piattaforme e per questo importantissima, con potenziali effetti che superano il perimetro del singolo caso e della singolo marketplace.
La sanzione Uber e l’articolo 22 del GDPR
La disposizione richiamata dall’autorità olandese si basa sulla normativa sulla protezione dei dati personali (quindi applicabile solo a singoli professionisti e non le aziende, ma leggete fino alla fine) e stabilisce che l’interessato ha diritto a non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato quando produce effetti giuridici che lo riguardano o incide in modo analogamente significativo sulla sua persona, e la perdita dell’accesso allo strumento con cui si genera reddito rientra senza sforzo interpretativo in quella nozione.
Il divieto dell’articolo 22 del GDPR ammette eccezioni, elencate al secondo paragrafo della stessa norma, tra cui la necessità per la conclusione o l’esecuzione di un contratto e il consenso esplicito, ma anche quando l’eccezione opera il titolare resta obbligato ad attuare misure appropriate a tutela dei diritti dell’interessato, che comprendono il diritto di ottenere l’intervento umano, di esprimere la propria posizione e di contestare la decisione.
Informazioni, impatto e controllo umano
A questo si affiancano gli obblighi informativi degli articoli 13, 14 e 15, che impongono di comunicare l’esistenza di un processo decisionale automatizzato insieme a informazioni significative sulla logica utilizzata e sulle conseguenze previste, mentre la Corte di giustizia, con la pronuncia SCHUFA del dicembre 2023, ha chiarito che rientra nell’ambito della norma anche l’attribuzione di un punteggio quando su quel punteggio si fonda in modo determinante la decisione finale, ampliando in modo sensibile il perimetro applicativo.
Va ricordato, inoltre, che una valutazione sistematica basata su trattamento automatizzato con effetti giuridici richiede una valutazione d’impatto ai sensi dell’articolo 35, adempimento che nella prassi delle piattaforme resta spesso una formalità documentale.
L’autorità ha ritenuto insufficiente il presidio umano dichiarato dalla società rispetto a una parte dei casi esaminati, ricostruzione che la società contesta annunciando ricorso.
L’autorità olandese, equivalente al nostro Garante Privacy, fonda la sua decisione sul GDPR, unica norma su cui detta autorità può vantare competenza.
Uber, piattaforme e il regolamento P2B
Tuttavia, a mio parere, questo tipo di flusso automatizzato, con effetti diretti sul reddito di persone e aziende, viola altresì un lungo elenco di normative europee, soprattutto quando si parla di Marketplace e piattaforme (forse meno quando si parla di trasporti – c’è una sentenza della corte di Giustizia che escluderebbe le app di Taxi, ma Uber comunque si dichiara compliant con il regolamento P2B).
Si pensi, ad esempio, al regolamento europeo 2019/1150 sull’equità e la trasparenza per gli utenti commerciali, professionisti e aziende (proprio come freelance o gli ecommerce) dei servizi di intermediazione online (cioè le piattaforme), che copre proprio le situazioni in cui un professionista dipende da una piattaforma per raggiungere i propri clienti e si applica ai fornitori di servizi di intermediazione e ai motori di ricerca rivolti a utenti commerciali stabiliti nell’Unione, a prescindere dal luogo in cui la piattaforma ha sede. L’articolo 4 disciplina in modo puntuale le restrizioni, le sospensioni e le cessazioni: quando la piattaforma restringe o sospende la fornitura del servizio a un utente commerciale determinato deve fornire una motivazione su un supporto durevole prima che la misura abbia effetto oppure nel momento in cui prende effetto, e quella motivazione deve contenere i fatti o le circostanze specifiche che hanno portato alla decisione insieme al riferimento ai motivi generali indicati nelle condizioni contrattuali, mentre quando la piattaforma cessa integralmente il rapporto l’obbligo diventa un preavviso di trenta giorni, salvo le ipotesi tassative in cui l’obbligo è escluso, come l’esistenza di un obbligo giuridico contrario, l’accertamento di violazioni reiterate delle condizioni contrattuali o un motivo imperativo di diritto nazionale.
Gli articoli 11 e 12 completano il quadro imponendo un sistema interno di gestione dei reclami accessibile e gratuito, con risposta individualizzata, e l’indicazione di mediatori disponibili per la risoluzione stragiudiziale, previsioni che nella pratica quotidiana restano, evidentemente, più teoriche che operative, con motivazioni che arrivano quasi sempre in forma di formula generica.
Decisioni automatizzate sulle piattaforme e DSA
Il regolamento 2022/2065 (il DSA) ha aggiunto un livello ulteriore per le piattaforme online (sempre con il dubbio dei soli Taxi di cui sopra), perché l’articolo 17 impone una motivazione chiara e specifica per ogni restrizione imposta ai destinatari del servizio, con un elenco di contenuti obbligatori che comprende l’indicazione dei fatti, il richiamo alla base contrattuale o giuridica applicata, il perimetro della misura adottata, la durata quando è temporanea e la precisazione se nella decisione siano stati impiegati strumenti automatizzati.
L’articolo 20 inoltre obbliga le piattaforme a mettere a disposizione un sistema interno di gestione dei reclami gratuito, utilizzabile per sei mesi dalla decisione, e stabilisce espressamente che i reclami vanno esaminati sotto la supervisione di personale adeguatamente qualificato, escludendo che l’esito possa essere determinato unicamente da mezzi automatizzati (!!!), mentre l’articolo 21 apre la strada agli organismi di risoluzione extragiudiziale certificati dai coordinatori nazionali dei servizi digitali e l’articolo 24 impone la trasmissione delle decisioni di moderazione alla banca dati pubblica gestita dalla Commissione europea.
Dall’AI Act al lavoro sulle piattaforme digitali
Chi ha subito un blocco dispone quindi di diversi appigli normativi, a cui si aggiunge il Regolamento UE 2024/1689 sull’intelligenza artificiale, l’AI Act, che colloca nell’Allegato III i sistemi destinati alla gestione dei lavoratori, comprese le decisioni sull’assegnazione dei compiti, sul monitoraggio delle prestazioni e sulla cessazione dei rapporti contrattuali. Questa classificazione produrrà però effetti più tardi del previsto, perché il regolamento 2026/1744, l’Omnibus digitale, ha modificato l’articolo 113 spostando l’applicazione degli obblighi sui sistemi ad alto rischio dell’Allegato III al 2 dicembre 2027, con un ulteriore rinvio al 2 agosto 2028 per quelli integrati nei prodotti.
Più problematica è invece la sorte dell’articolo 86, che riconosce alla persona interessata il diritto di ottenere spiegazioni sul ruolo del sistema di IA nella decisione che la riguarda. La disposizione è collocata nel capo IX e non è stata formalmente rinviata dall’Omnibus, restando quindi soggetta alla data generale del 2 agosto 2026; allo stesso tempo, però, fa riferimento ai sistemi ad alto rischio dell’Allegato III, il cui regime è stato rinviato al 2 dicembre 2027. Ne deriva un evidente problema di coordinamento normativo.
Fino alla piena operatività di questo quadro, il GDPR continua comunque a rappresentare uno dei principali strumenti di tutela nei casi di gestione algoritmica fondata sul trattamento di dati personali, quando ricorrono i presupposti dell’articolo 22.
Le tutele per chi lavora tramite app
A questo si aggiungerà, dal recepimento della direttiva 2024/2831 sul lavoro mediante piattaforme digitali, una disciplina ancora più specifica per le decisioni automatizzate adottate nei confronti di chi lavora tramite piattaforme, che dovrebbe applicarsi anche a tutte le app di ride-hailing come Uber.
Questa direttiva dedica un capo autonomo proprio alla gestione algoritmica e riconosce a chi svolge attività tramite piattaforma il diritto a ottenere una motivazione scritta per le decisioni assunte o assistite da sistemi automatizzati. Ancora più nettamente, per le decisioni di restrizione, sospensione o chiusura dell’account, così come per la risoluzione del rapporto contrattuale o altre decisioni di pregiudizio equivalente, impone che la decisione sia presa da un essere umano. Il termine per il recepimento negli ordinamenti nazionali scade il 2 dicembre 2026.
Partecipa alla community