Sanción a Uber: La gestión algorítmica puesta a prueba ante la ley..

¿Hasta qué punto puede una empresa delegar en una máquina el poder de reclutar, evaluar, remunerar, sancionar o excluir a un trabajador? La reciente sanción adoptada por la autoridad holandesa de protección de datos contra la empresa de transporte compartido Uber nos proporciona un punto de partida para encontrar una respuesta.

La autoridad impuso una multa de 824.990.000 euros el 21 de agosto. a la empresa, en cooperación con la CNIL que había iniciado el procedimiento de investigación. 
Uber utilizó software para supervisar el comportamiento de los conductores y analizar las reseñas de los clientes, y entre 2018 y 2022 desactivó automáticamente ciertas cuentas de conductores en casos de sospecha de fraude o falta de reseñas suficientes.

La autoridad condenó a la empresa por Toma de decisiones automatizada sin supervisión humana.

Esta decisión ilustra cómo funciona la cooperación europea entre dos autoridades de protección de datos y nos brinda la oportunidad de hacer balance del desarrollo de la gestión algorítmica en un contexto profesional y su marco jurídico.

En este caso concreto, la CNIL y la autoridad neerlandesa habían estado cooperando desde 2020, fecha de la denuncia colectiva recibida por la CNIL de la asociación La Ligue des droits de l'Homme, que representa a más de 170 conductores de la plataforma UBER. 

La empresa tiene su sede principal en San Francisco (Uber Technologies Inc.) y su sede europea en Ámsterdam (Uber BV), razón por la cual la autoridad holandesa llevó a cabo las investigaciones y adoptó una postura, tras analizar con Francia las pruebas obtenidas y examinar conjuntamente el proyecto de decisión final. 

Esta decisión es la tercera adoptada por los Países Bajos en un caso en el que la empresa ya ha sido condenada por no informar a los conductores y por transferir ilegalmente datos a Estados Unidos. 

Principalmente, recuerda las reglas que deben regir la gestión algorítmica y subraya que la verificación humana es esencial antes de tomar cualquier decisión basada en un algoritmo.

También nos brinda la oportunidad de recordar que, además de esta necesaria intervención humana y la obligación de informar a los empleados, la gestión algorítmica formará parte, en la mayoría de los casos, de un contexto que implica tanto la consideración del principio de "privacidad desde el diseño" como la realización previa de una evaluación de impacto en la protección de datos (EIPD) por parte del empleador. 

Antes de implementar nuevas tecnologías de monitoreo o gestión en el lugar de trabajo, ya sea que se relacionen con la contratación, la gestión de recursos humanos, la medición de la efectividad de los empleados o la asignación de tareas, los empleadores deben establecer medidas de protección técnicas y organizativas desde el principio. 

Estas medidas deben adaptarse a los riesgos involucrados y pueden incluir, en particular: procesar menos datos, recurrir a la seudonimización y a limitar el acceso.

En resumen, La protección de la privacidad no puede ser una consideración secundaria.. Debe integrarse desde el principio en el diseño de las tecnologías utilizadas en el lugar de trabajo.

Por otro lado, el gestión algorítmica en la mayoría de los casos se considerará como un tratamiento «"Alto riesgo"» que requiere un análisis de impacto porque cumplen una serie de criterios enumerados en el RGPD Estas herramientas suelen implicar nuevas soluciones tecnológicas, toma de decisiones automatizada, monitorización, combinación de conjuntos de datos, y los empleados se encuentran en una situación de dependencia de su empleador.

El objetivo de este AIPD será’identificar, evaluar y mitigar riesgos en relación con la introducción de esta nueva tecnología, teniendo en cuenta el impacto en los empleados y su punto de vista.

Estos principios esenciales del RGPD pronto se complementarán con otras medidas de protección.

Si el regulación de la IA ya ha entrado en vigor; ciertas disposiciones relativas a los sistemas de IA de alto riesgo se aplicarán a partir de Diciembre de 2027. 
El'Artículo 9 y elAnexo III Las regulaciones exigirán a los empleadores implementar una sistema de gestión de riesgos cuando utilizan la IA para determinadas tareas relacionadas con el empleo y la gestión de personal, por ejemplo, publicar ofertas de trabajo específicas, analizar y filtrar solicitudes o evaluar candidatos.

En ciertos casos específicos donde los riesgos son particularmente altos, una evaluación del impacto en los derechos fundamentales También será necesario llevarlo a cabo, en paralelo con la AIPD.

Además, nuevas normas europeas relativas a trabajar en plataformas entrará en vigor el 2 de diciembre próximo.

Estas normativas tienen como objetivo regular el uso de algoritmos para la gestión de recursos humanos en plataformas de trabajo digitales.

Por lo tanto, los empleadores tendrán que informar a los trabajadores sobre el uso de la IA, y estos sistemas deberán ser supervisados por personal cualificado, beneficiándose de una protección especial contra cualquier trato adverso.

A supervisión humana También deberá garantizarse para decisiones importantes, como la suspensión de cuentas.

En este contexto en constante evolución, el sanción holandesa Esto constituye un recordatorio muy útil, especialmente porque parece ser solo el comienzo.

Este septiembre, conductores de varios países europeos han contratado un Demanda colectiva en Ámsterdam contra Uber, en esta ocasión impugnando el uso del algoritmo para la remuneración y la asignación de viajes.

En Francia

Apenas unas semanas después de que el Parlamento adoptara la’Prohibición de redes sociales para menores de 15 años., la ley era bloqueado por el Consejo Constitucional.

Él estimó que 14 de agosto Por último, que esta prohibición« infringiría la libertad de expresión y comunicación de los menores. y, además, estaría viciado por un exceso de competencia.".

El Consejo Constitucional señala además que esta prohibición tendría como consecuencia la imposición de Todos los usuarios, incluidos los adultos, deben demostrar su edad. antes de acceder a determinados servicios en línea.

Sin embargo, la ley no definió los procedimientos ni los límites de esta verificación: el legislador, por lo tanto, no previó garantías suficientes para proteger el derecho al respeto de la vida privada, garantizado por la’Artículo 2 de la Declaración de 1789.

El Consejo no cuestiona el objetivo de proteger a los menores, pero exige que los sistemas de verificación de edad concilien este objetivo con la protección de datos y la privacidad de todos los usuarios.

El gobierno no ha abandonado el proyecto, y el Primer Ministro tiene la tarea de "redactar, lo más rápido posible, un proyecto de ley jurídicamente sólido". Inicialmente, la ley estaba programada para entrar en vigor el 1 de enero de 2027. El gobierno ahora apunta a la Primavera de 2027.

Allá DGFiP confirmado 14 de agosto que actores maliciosos habían obtenido acceso ilegítimo a su sistema de información y habían podido ver y extraer datos de 678.000 personas y profesionales.

Estas preocupaciones información fiscal (ingresos de referencia, coeficiente familiar, tasa de retención de impuestos, número SIREN y nombre de la empresa) y datos catastrales (direcciones y superficies de los bienes inmuebles).

La intrusión fue detectada y bloqueada inicialmente. finales de junio, Esto se reveló después de que los atacantes reivindicaran públicamente la autoría del atentado a mediados de agosto.

Las personas afectadas fueron informadas individualmente y La filtración de datos ha sido notificada a la CNIL..

Supuestamente, la intrusión fue posible gracias a la comprometer las credenciales de un agente, combinado con un acceso externo insuficientemente protegido.

El'ausencia de autenticación de dos factores El acceso generalizado a los agentes constituye una vulnerabilidad identificada a posteriori: Bercy anunció su despliegue acelerado tras el ataque.

Tenga en cuenta que Francia ha sido llevada ante el Tribunal de Justicia de la Unión Europea (TJUE) Para No se logró transponer la directiva europea NIS2. (Seguridad de redes e información). La transposición debería haberse realizado a más tardar en Octubre de 2024.

Allá CNIL publicó el 10 de agosto un recordatorio de las medidas que deben adoptarse para garantizar la’Independencia del responsable de protección de datos (RPD).

La publicación tiene como objetivo ayudar a las empresas a identificar y gestionar la riesgos de conflictos de interés En relación con esta función, se enumeran las funciones en riesgo y se proponen maneras de abordar los conflictos de intereses.

En Europa

instituciones y organismos europeos

Allá Comisión Europea designado el 31 de agosto ChatGPT, Reddit y Roblox como ser respectivamente un motor de búsqueda en línea muy grande y dos plataformas en línea muy grandes.

ChatGPT, como todos saben, es un sistema de inteligencia artificial (IA) capaz de interactuar con los usuarios y responder a sus solicitudes y consultas, en particular mediante la realización de búsquedas web, lo que, según la Comisión, lo convierte en un servicio híbrido que se encuentra dentro del ámbito de Ley de Servicios Digitales (DSA).

Reddit es una plataforma que permite a los usuarios crear, compartir, ver e interactuar con contenido dentro de comunidades organizadas por temas.

Roblox es una plataforma inmersiva de creación y juegos que permite a los usuarios crear, publicar y jugar a juegos desarrollados por otros usuarios.

Estas designaciones confieren a la Comisión poderes de investigación específicos y requieren estos servicios, desde aquí finales de diciembre de 2026, para cumplir con las obligaciones adicionales establecidas en la DSA, en particular con respecto a la’evaluación y mitigación de riesgos sistémicos derivado de sus sistemas algorítmicos.

En una opinión de 11 de agosto por último, el Supervisor Europeo de Protección de Datos (SEPD) está preocupado por una reforma que permitiría Europol procesar y almacenar datos de forma más amplia personas sin vínculo establecido con una investigación criminal.

Le preocupa especialmente que la ampliación de las capacidades analíticas de Europol pueda dar lugar al establecimiento de vínculos o perfiles entre personas y actividades delictivas sin fundamentos suficientemente sólidos.

El SEPD señala que cuantas más capacidades de análisis automatizado tenga Europol, mayor será el riesgo de pasar de una situación a otra. Cobro basado en sospecha a un lógica de la recolección masiva preventiva.

Él está exigiendo garantías más estrictas con respecto a necesidad, proporcionalidad, vida útil y control, para que la eficacia de la lucha contra la delincuencia no se produzca a expensas del derecho a la privacidad y a la protección de datos.

Noticias procedentes de los países miembros de la Unión Europea.

La publicidad ahora se está abriendo paso en los automóviles. El fabricante alemán BMW lanzó una campaña publicitaria este verano en el’pantalla principal de sus últimos modelos de automóviles.

Cuando los conductores arrancaban sus coches, aparecía en la pantalla una animación promocional de la próxima película de Spider-Man. El anuncio ocupaba la mayor parte de la pantalla. casi 20 segundos Y Se deshabilitaron temporalmente ciertas funciones. tales como navegación, multimedia y aire acondicionado. 
Esta prueba abarca varios modelos recientes y se ha implementado en más de 70 países.

A Tribunal austriaco consideró que la autoridad nacional de protección de datos (APD) podría negarse a actuar ante una queja en relación con una solicitud de acceso presentada por una asociación en nombre de un particular.

El tribunal señala el el modelo económico de la asociación, y el hecho de que obtiene beneficios financieros de decisiones judiciales favorables aunque la persona interesada no exprese explícitamente un interés en presentar la solicitud en cuestión: "un poder general destinado a buscar automáticamente violaciones de protección de datos y obtener beneficios financieros justifica la negativa a tramitar una queja en virtud de la«Artículo 57(4) del RGPD y la jurisprudencia pertinente del TJUE, el Tribunal Administrativo Supremo (VwGH) y el Tribunal Administrativo Federal (BVwG).»  

EL 26 de agosto, El gobierno de los Estados Unidos se ha registrado Autistici/Inventati (A/I), un colectivo italiano de alojamiento asociativo, en el Lista de organizaciones y miembros de organizaciones consideradas terroristas.

La administración Trump acusa al grupo de haber proporcionado un "« apoyo material »"a grupos antifascistas y de izquierda a través de sus servicios de alojamiento.".

Las organizaciones estadounidenses vinculadas a A/I deben cesar todas las relaciones antes de que 25 de septiembre, el nombre de dominio autistici.org Fue suspendido por el administrador estadounidense de dominios .org., cortar el acceso a los correos electrónicos y servicios del colectivo para sus usuarios. 

Allá Noruega pretende regular estrictamente la gafas inteligentes.

EL 25 de agosto, La ministra encargada de la digitalización declaró que quería que estas gafas estuvieran sujetas a regulaciones más estrictas., Prohibiendo, en particular, el reconocimiento facial en lugares públicos..

El ministro tiene la intención de nombrar a un grupo de expertos Encargado de formular recomendaciones sobre la regulación de las cámaras y los micrófonos integrados en gafas, auriculares y dispositivos cotidianos similares.

Internacionalmente

En Reino Unido, una pequeña unidad generadora de electricidad británica era fuera de servicio durante cuatro días en julio después de un Ciberataque atribuido a piratas informáticos vinculados a Irán.

El incidente, considerado el Primer éxito conocido de un grupo iraní contra una infraestructura energética británica., No causó ninguna interrupción ni amenaza a la red nacional, ya que el sitio no constituía una infraestructura crítica.

Sin embargo, el gobierno británico ha... medidas reforzadas de ciberseguridad en el sector energético, El ataque se interpreta como una advertencia sobre la creciente vulnerabilidad de la infraestructura nacional.

Al otro lado del Canal también, Policía Británica de Transportes (BTP) extendido en Agosto de 2026 su experimentación con reconocimiento facial en tiempo real (LFR) en determinadas estaciones del metro de Londres, tras un despliegue inicial en febrero.

La tecnología compara los rostros de los viajeros con un Lista de personas buscadas, especialmente en el caso de delitos graves, para permitir una rápida intervención policial.

Las autoridades afirman que el plan es selectivo, basado en inteligencia y que el Se eliminan las imágenes de las personas que no coinciden con la lista..

La prueba debe continuar hasta Noviembre de 2026. El hecho de que miles de viajeros fueran escaneados de esta manera sin ser sospechosos de ningún delito reaviva el debate sobre el La proporcionalidad y el marco jurídico para la vigilancia biométrica en el Reino Unido.

En Brasil, el APD infligió el 25 de agosto tiene ByteDance una multa de 153,7 millones de reales (25,4 millones de euros) para el tratamiento de Datos sobre niños y adolescentes en TikTok, acompañado de un orden judicial de desalojo Datos recopilados de forma irregular.

La decisión se refiere a dos modos de acceso: el servicio de noticias accesible a todos sin conexión y el accesible a través de una cuenta registrada, cuyo tratamiento infringe varios principios de la ley de protección de datos.

En ambos casos, la autoridad señaló una ausencia de una base legal válida y medidas de protección eficaces.

Allá Corea del Sur lanza "« Inteligencia artificial para todos »un programa destinado a ofrecer Acceso gratuito e ilimitado a servicios de IA generativa para todos sus ciudadanos..

El objetivo es democratizar el uso de la IA al tiempo que se fortalece la soberanía tecnológica del país en comparación con los modelos de Estados Unidos y China.

La IA se integrará en los servicios públicos para facilitar los trámites médicos, fiscales, inmobiliarios o educativos, y también para ayudar a las pequeñas empresas.

El gobierno está planeando un presupuesto de IA de 7.200 millones de dólares en 2026, Con un lanzamiento a nivel nacional previsto para finales de año.

A Hong Kong, El Centro Nacional de Ciberseguridad ha publicado directrices para la IA con agentes.

El documento define cinco categorías de riesgo (acceso extendido, vulnerabilidades del sistema, complementos o habilidades vulnerables, desviación funcional y riesgos asociados con múltiples agentes), fórmula nueve recomendaciones alineado con los principios de protección de datos y propone un anexo que contiene un lista de verificación de seguridad que abarca la evaluación, preparación, despliegue, uso y desinstalación de agentes de IA.

Además recuerda que el último no son entidades jurídicas, y eso La organización sigue siendo responsable de los datos..

A ESTADOS UNIDOS, las cámaras de vigilancia de la empresa Seguridad del rebaño Estas cámaras se están multiplicando, no sin provocar fuertes reacciones. Lectura automática de matrículas con el supuesto objetivo de combatir la delincuencia.

Sin embargo, varias ciudades y residentes están preocupados por los riesgos para la privacidad, en particular la posibilidad de que otros servicios policiales o utilizado en el contexto de los controles migratorios.

Los investigadores de ciberseguridad también han revelado vulnerabilidades que potencialmente permiten el acceso a ciertas imágenes, Esto ha aumentado la preocupación por la seguridad de los datos. Ante estas controversias, algunos municipios han rescindido sus contratos o desactivado las cámaras.

En Estados Unidos también, Meta concluyó acuerdo con el sistema judicial sobre la seguridad de los adolescentes.

Este acuerdo concluyó con 51 Fiscales Generales pone fin a una demanda que lo acusa de haber diseñado Instagram y Facebook para fomentar el uso compulsivo entre los jóvenes y haber minimizado los riesgos asociados.

El acuerdo prevé hasta 17.100 millones de dólares pagados a los Estados durante diez años, así como nuevas reglas para el menores de 18 años.

Las medidas incluyen una límite de uso diario, A bloqueo nocturno, deshabilitando las notificaciones durante ciertos períodos, el Eliminación de la visualización de "me gusta"«, la prohibición de los filtros de cirugía estética y la posibilidad de utilizar un canal de noticias no personalizado.

A verificación de edad también tendrá que excluir el menores de 13 años.

El acuerdo finalmente prevé una auditor independiente responsable de supervisar su aplicación.

Las restricciones podrían reforzarse si otras plataformas importantes adoptan reglas similares, lo que convierte este acuerdo en un posible modelo para todo el sector.

Sobre el mismo tema, y aún en los Estados Unidos, TikTok y su empresa matriz ByteDance acordó pagar 400 millones de dólares poner fin a los procedimientos legales relacionados con la recopilación y protección de datos personales de los niños.

El Departamento de Justicia de Estados Unidos los acusó, en particular, de no haber impedido suficientemente la menores de 13 años utilizar la plataforma y haber recopilado sus datos sin el consentimiento de los padres.