Sanzioni a Uber: la gestione algoritmica messa alla prova dalla legge.

In che misura un'azienda può delegare a una macchina il potere di reclutare, valutare, retribuire, sanzionare o escludere un lavoratore? La recente sanzione adottata dall'autorità olandese per la protezione dei dati nei confronti della società di trasporto privato Uber ci offre un punto di partenza per una risposta.

Il 21 agosto l'autorità ha inflitto una multa di 824.990.000 euro. all'azienda, in collaborazione con la CNIL che aveva avviato la procedura di indagine. 
Uber ha utilizzato un software per monitorare il comportamento degli autisti e analizzare le recensioni dei clienti e, tra il 2018 e il 2022, ha disattivato automaticamente alcuni account di autisti in caso di sospetta frode o mancanza di recensioni sufficienti.

L'autorità ha condannato la società per Processo decisionale automatizzato senza supervisione umana.

Questa decisione illustra il funzionamento della cooperazione europea tra due autorità europee per la protezione dei dati e ci offre l'opportunità di fare il punto sullo sviluppo della gestione algoritmica in un contesto professionale e sul suo quadro giuridico.

In questo caso specifico, la CNIL e l'autorità olandese collaboravano dal 2020, data della denuncia collettiva ricevuta dalla CNIL dall'associazione La Ligue des droits de l'Homme, che rappresenta oltre 170 autisti della piattaforma UBER. 

L'azienda ha una sede centrale a San Francisco (Uber Technologies Inc.) e una sede europea ad Amsterdam (Uber BV), motivo per cui le autorità olandesi hanno condotto le indagini e preso posizione, dopo aver analizzato con la Francia le prove raccolte ed esaminato congiuntamente la bozza della decisione finale. 

Questa decisione è la terza presa dai Paesi Bassi in un caso che ha già visto la società condannata per non aver informato gli autisti e per aver trasferito illegalmente dati negli Stati Uniti. 

Il documento richiama principalmente le regole che devono governare la gestione algoritmica e sottolinea l'importanza della verifica umana prima di prendere qualsiasi decisione basata su un algoritmo.

Ciò ci offre anche l'opportunità di ricordare che, oltre al necessario intervento umano e all'obbligo di informare i dipendenti, la gestione algoritmica si inserirà il più delle volte in un contesto che prevede sia la considerazione del principio di "privacy by design", sia il previo completamento da parte del datore di lavoro di una valutazione d'impatto sulla protezione dei dati (DPIA). 

Prima di implementare nuove tecnologie di monitoraggio o gestione sul luogo di lavoro, siano esse relative al reclutamento, alla gestione delle risorse umane, alla misurazione dell'efficacia dei dipendenti o all'assegnazione dei compiti, i datori di lavoro devono predisporre fin da subito misure di protezione tecniche e organizzative. 

Queste misure devono essere adattate ai rischi connessi e possono includere, in particolare, elaborare meno dati, ricorrere al pseudonimizzazione e a limitare l'accesso.

In sintesi, La tutela della privacy non può essere una considerazione secondaria. Deve essere integrato fin dall'inizio nella progettazione delle tecnologie utilizzate sul posto di lavoro.

D'altra parte, il gestione algoritmica nella maggior parte dei casi sarà considerato un trattamento «"Alto rischio"» richiedendo un analisi di impatto perché soddisfano una serie di criteri elencati nel GDPR Tali strumenti generalmente implicano nuove soluzioni tecnologiche, processi decisionali automatizzati, monitoraggio, combinazione di set di dati e i dipendenti si trovano in una situazione di dipendenza dal proprio datore di lavoro.

L'obiettivo di questo AIPD sarà’identificare, valutare e mitigare i rischi relativo all'introduzione di questa nuova tecnologia, tenendo conto dell'impatto sui dipendenti e del loro punto di vista.

A questi principi fondamentali del GDPR si aggiungeranno presto altre misure di protezione.

Se il Regolamentazione dell'IA è già entrato in vigore; alcune disposizioni relative ai sistemi di IA ad alto rischio si applicheranno a partire da Dicembre 2027. 
L'Articolo 9 e ilAllegato III i regolamenti richiederanno ai datori di lavoro di implementare un sistema di gestione del rischio quando utilizzano l'IA per determinate attività legate all'occupazione e alla gestione del personale, ad esempio, pubblicare offerte di lavoro mirate, analizzare e filtrare le candidature o valutare i candidati.

In alcuni casi specifici in cui i rischi sono particolarmente elevati, un valutazione dell'impatto sui diritti fondamentali Sarà inoltre necessario svolgere tale attività, in parallelo con l'AIPD.

Inoltre, nuove norme europee relative a lavorare sulle piattaforme entrerà in vigore il 2 dicembre Prossimo.

Queste normative mirano a regolamentare l'uso di algoritmi per la gestione delle risorse umane su piattaforme di lavoro digitali.

I datori di lavoro dovranno quindi informare i lavoratori sull'uso dell'IA, e questi sistemi dovranno essere supervisionati da personale qualificato, beneficiando di una protezione speciale contro qualsiasi trattamento avverso.

UN supervisione umana Sarà inoltre necessario garantirlo per decisioni importanti, come la sospensione dei conti.

In questo contesto in continua evoluzione, il sanzione olandese Questo rappresenta un promemoria molto utile, soprattutto perché sembra essere solo l'inizio.

Questo settembre, gli autisti di diversi paesi europei hanno assunto un Azione legale collettiva intentata ad Amsterdam contro Uber., questa volta contestando l'utilizzo dell'algoritmo per la remunerazione e l'assegnazione delle corse.

In Francia

Solo poche settimane dopo che il Parlamento ha adottato il’divieto di utilizzo dei social media per i minori di 15 anni, la legge era bloccato dal Consiglio costituzionale.

Ha stimato il 14 agosto infine, che questo divieto« violerebbe la libertà di espressione e di comunicazione dei minori e, inoltre, sarebbe viziata da un eccesso di competenza.".

Il Consiglio costituzionale osserva inoltre che tale divieto avrebbe la conseguenza di costringere Tutti gli utenti, compresi gli adulti, devono dimostrare la propria età. prima di accedere a determinati servizi online.

Tuttavia, la legge non ha definito le procedure o i limiti di questa verifica: il legislatore non ha quindi previsto garanzie sufficienti per proteggere il diritto al rispetto della vita privata, garantito dalla legge’Articolo 2 della Dichiarazione del 1789.

Il Consiglio non mette in discussione l'obiettivo di tutelare i minori, ma richiede che i sistemi di verifica dell'età concilino tale obiettivo con la protezione dei dati e della privacy di tutti gli utenti.

Il governo non ha abbandonato il progetto, con il Primo Ministro incaricato di "redigere, il più rapidamente possibile, un disegno di legge giuridicamente valido". La legge avrebbe dovuto entrare in vigore inizialmente il 1° gennaio 2027. Il governo ora punta a Primavera 2027.

Là DGFiP confermato 14 agosto che attori malintenzionati avevano ottenuto accesso illegittimo al suo sistema informativo ed erano stati in grado di visualizzare ed estrarre dati da 678.000 persone e professionisti.

Queste preoccupazioni informazioni fiscali (reddito di riferimento, quoziente familiare, aliquota della ritenuta d'acconto, numero SIREN e nome dell'azienda) e dati catastali (indirizzi e superfici degli immobili).

L'intrusione è stata inizialmente rilevata e bloccata. fine giugno, è stato rivelato dopo che gli attentatori hanno rivendicato pubblicamente la responsabilità dell'attentato a metà agosto.

Le persone interessate sono state informate individualmente e La violazione dei dati è stata notificata alla CNIL..

L'intrusione sarebbe stata resa possibile da compromettere le credenziali di un agente, combinato con un accesso esterno insufficientemente protetto.

L'assenza di autenticazione a due fattori L'accesso diffuso agli agenti costituisce una debolezza identificata a posteriori: Bercy ha annunciato un'accelerazione del dispiegamento in seguito all'attacco.

Si noti che la Francia è stata portata davanti al Corte di giustizia dell'Unione europea (CGUE) Per mancata trasposizione della direttiva europea NIS2 (Sicurezza delle reti e delle informazioni). Il recepimento avrebbe dovuto avvenire entro e non oltre il Ottobre 2024.

Là CNIL pubblicato il 10 agosto un promemoria delle misure da adottare per garantire la’indipendenza del responsabile della protezione dei dati (DPO).

La pubblicazione mira ad aiutare le aziende a identificare e gestire rischi di conflitti di interesse relativo a questa funzione. Elenca le funzioni a rischio e propone soluzioni per affrontare i conflitti di interesse.

In Europa

istituzioni e organismi europei

Là Commissione Europea designato 31 agosto ChatGPT, Reddit e Roblox in quanto rispettivamente un motore di ricerca online molto grande e due piattaforme online molto grandi.

ChatGPT, come tutti sanno, è un sistema di intelligenza artificiale (IA) in grado di interagire con gli utenti e rispondere alle loro richieste e domande, in particolare eseguendo ricerche web, che, secondo la Commissione, lo rendono un servizio ibrido rientrante nell'ambito di Legge sui servizi digitali (DSA).

Reddit è una piattaforma che permette agli utenti di creare, condividere, visualizzare e interagire con contenuti all'interno di comunità organizzate per tema.

Roblox è una piattaforma immersiva di gioco e creazione che consente agli utenti di creare, pubblicare e giocare a giochi sviluppati da altri utenti.

Tali designazioni conferiscono alla Commissione poteri investigativi specifici e richiedere questi servizi, da qui fine dicembre 2026, per conformarsi agli obblighi aggiuntivi stabiliti nel DSA, in particolare per quanto riguarda il’valutazione e mitigazione del rischio sistemico derivanti dai loro sistemi algoritmici.

Secondo un parere di 11 agosto infine, il Garante europeo della protezione dei dati (GEPD) è preoccupato per una riforma che consentirebbe Europol elaborare e archiviare dati in modo più ampio persone senza alcun collegamento accertato con un'indagine penale.

È particolarmente preoccupato che l'ampliamento delle capacità analitiche di Europol possa portare alla creazione di collegamenti o profili tra individui e attività criminali senza basi sufficientemente fondate.

Il Garante europeo della protezione dei dati (EDPS) sottolinea che maggiore è il numero di capacità di analisi automatizzate di cui dispone Europol, maggiore è il rischio di passare da una raccolta basata sul sospetto a logica della raccolta di massa preventiva.

Egli chiede garanzie più rigorose riguardo necessità, proporzionalità, durata di conservazione e controllo, affinché l'efficacia della lotta contro la criminalità non vada a scapito del diritto alla privacy e alla protezione dei dati.

Notizie dai paesi membri dell'Unione europea.

La pubblicità sta entrando anche nelle auto. Il produttore tedesco BMW ha lanciato una campagna pubblicitaria quest'estate su’schermata principale dei suoi modelli di auto più recenti.

Quando i conducenti hanno avviato le loro auto, sullo schermo è apparsa un'animazione promozionale per il prossimo film di Spider-Man. La pubblicità ha occupato la maggior parte dello schermo per quasi 20 secondi E temporaneamente disabilitate alcune funzioni come ad esempio la navigazione, il multimedia e l'aria condizionata. 
Questa sperimentazione copre diversi modelli recenti ed è stata implementata in più di 70 paesi.

UN Corte austriaca considerato che l'autorità nazionale per la protezione dei dati (DPA) potrebbe rifiutarsi di agire in seguito a un reclamo in merito a una richiesta di accesso presentata da un'associazione per conto di un individuo.

La corte indica che il modello economico dell'associazione, e il fatto che tragga un beneficio finanziario da decisioni favorevoli del tribunale anche se la persona interessata non esprime esplicitamente un interesse a presentare la domanda in questione: "una procura generale volta a ricercare automaticamente violazioni della protezione dei dati e ottenere benefici finanziari giustifica il rifiuto di elaborare un reclamo ai sensi della«Articolo 57(4) del GDPR e la relativa giurisprudenza della Corte di giustizia dell'Unione europea, della Corte amministrativa suprema (VwGH) e della Corte amministrativa federale (BVwG).»  

IL 26 agosto, il governo degli Stati Uniti ha registrato Autistici/Inventati (A/I), un collettivo italiano di alloggi associativi, sul Elenco delle organizzazioni e dei membri delle organizzazioni considerate terroristiche.

L'amministrazione Trump accusa il gruppo di aver fornito un "« supporto materiale »"ai gruppi antifascisti e di sinistra attraverso i suoi servizi di alloggio.

Le organizzazioni americane legate all'A/I devono interrompere ogni rapporto prima del 25 settembre, il nome di dominio autistici.org è stato sospeso dall'amministratore statunitense dei domini .org., interrompere l'accesso alle email e ai servizi del collettivo per i suoi utenti. 

Là Norvegia intende regolamentare rigorosamente il occhiali intelligenti.

IL 25 agosto, La ministra responsabile della digitalizzazione ha dichiarato di voler sottoporre questi occhiali a normative più severe., vietando, in particolare, il riconoscimento facciale nei luoghi pubblici.

Il ministro intende nominare un gruppo di esperti incaricato di formulare raccomandazioni sulla regolamentazione di fotocamere e microfoni integrati in occhiali, cuffie e dispositivi di uso quotidiano simili.

A livello internazionale

A Regno Unito, una piccola unità di generazione di elettricità britannica era fuori servizio per quattro giorni a luglio in seguito a un attacco informatico attribuito a hacker legati all'Iran.

L'incidente, considerato il primo successo noto di un gruppo iraniano contro un'infrastruttura energetica britannica, non ha causato alcuna interruzione o minaccia alla rete nazionale, poiché il sito non costituiva un'infrastruttura critica.

Il governo britannico ha tuttavia misure di sicurezza informatica rafforzate nel settore energetico, L'attacco è stato interpretato come un monito sulla crescente vulnerabilità delle infrastrutture nazionali.

Anche dall'altra parte della Manica, Polizia dei trasporti britannica (BTP) esteso in Agosto 2026 la sua sperimentazione con Riconoscimento facciale in tempo reale (LFR) in alcune stazioni della metropolitana di Londra, a seguito di una prima fase di implementazione a febbraio.

La tecnologia confronta i volti dei viaggiatori con un elenco dei ricercati, soprattutto per i reati gravi, al fine di consentire un rapido intervento delle forze dell'ordine.

Le autorità affermano che il piano è mirato, basato sull'intelligence e che Le immagini delle persone che non corrispondono all'elenco vengono eliminate..

Il test deve continuare fino a Novembre 2026. Il fatto che migliaia di viaggiatori siano stati sottoposti a scansione in questo modo senza essere sospettati di alcun illecito riaccende il dibattito sulla proporzionalità e quadro giuridico per la sorveglianza biometrica nel Regno Unito.

A Brasile, l'APD ha inflitto il 25 agosto ha ByteDance una multa di 153,7 milioni di reais (25,4 milioni di euro) per il trattamento di dati su bambini e adolescenti su TikTok, accompagnato da un ingiunzione di rimozione dati raccolti in modo irregolare.

La decisione riguarda due modalità di accesso, ovvero il feed di notizie accessibile a tutti senza connessione e quello accessibile tramite un account registrato, il cui trattamento viola diversi principi della normativa sulla protezione dei dati.

In entrambi i casi, l'autorità ha rilevato un assenza di una valida base giuridica e misure di protezione efficaci.

Là Corea del Sud lancia "« Intelligenza artificiale per tutti »un programma volto a offrire accesso gratuito e illimitato ai servizi di intelligenza artificiale generativa per tutti i suoi cittadini.

L'obiettivo è democratizzare l'uso dell'IA rafforzando al contempo l' sovranità tecnologica del paese in confronto ai modelli degli Stati Uniti e della Cina.

L'intelligenza artificiale verrà integrata nei servizi pubblici per agevolare le procedure mediche, fiscali, immobiliari o scolastiche, nonché per supportare le piccole imprese.

Il governo sta pianificando un budget per l'IA di 7,2 miliardi di dollari nel 2026, con un lancio a livello nazionale previsto entro la fine dell'anno.

A Hong Kong, Il Centro nazionale per la sicurezza informatica ha pubblicato linee guida per l'IA agentiva.

Il documento definisce cinque categorie di rischio (accesso esteso, vulnerabilità del sistema, plugin o competenze vulnerabili, deriva funzionale e rischi associati a più agenti), formula nove raccomandazioni allineato ai principi di protezione dei dati e propone un allegato contenente un lista di controllo di sicurezza che copre la valutazione, la preparazione, l'implementazione, l'utilizzo e la disinstallazione degli agenti di intelligenza artificiale.

Ricorda inoltre che quest'ultimo non sono entità giuridiche, e quello l'organizzazione rimane responsabile dei dati.

A STATI UNITI, le telecamere di sorveglianza dell'azienda Sicurezza del gregge Queste telecamere si stanno moltiplicando, suscitando non poche reazioni. lettura automatica delle targhe con il presunto obiettivo di combattere la criminalità.

Tuttavia, diverse città e residenti sono preoccupati per i rischi per la privacy, in particolare per la possibilità che i dati possano essere accessibili da altri servizi di polizia o utilizzato nel contesto dei controlli migratori.

I ricercatori di sicurezza informatica hanno anche rivelato vulnerabilità che potrebbero consentire l'accesso a determinate immagini, Ciò ha acuito le preoccupazioni in materia di sicurezza dei dati. Di fronte a queste controversie, alcuni comuni hanno rescisso i contratti o disattivato le telecamere.

Anche negli Stati Uniti, Meta concluso accordo con il sistema giudiziario sulla sicurezza degli adolescenti.

Il presente accordo è concluso con 51 Procuratori Generali pone fine a una causa legale che lo accusa di aver progettato Instagram e Facebook per incoraggiare l'uso compulsivo tra i giovani e per aver ridotto al minimo i rischi associati.

L'accordo prevede fino a 17,1 miliardi di dollari pagato agli Stati in dieci anni, nonché nuove regole per il meno di 18 anni.

Le misure includono un limite di utilizzo giornaliero, UN blocco notturno, disabilitando le notifiche durante determinati periodi, il rimozione della visualizzazione dei "mi piace"«, il divieto di filtri per la chirurgia estetica e la possibilità di utilizzare un feed di notizie non personalizzato.

UN verifica dell'età dovrà inoltre escludere il meno di 13 anni.

L'accordo prevede infine un revisione indipendente responsabile del monitoraggio della sua applicazione.

Le restrizioni potrebbero essere rafforzate se altre piattaforme importanti adottassero regole simili, rendendo questo accordo un possibile modello per l'intero settore.

Sullo stesso argomento, e sempre negli Stati Uniti, TikTok e la sua società madre ByteDance ha accettato di pagare 400 milioni di dollari per porre fine ai procedimenti legali riguardanti la raccolta e la protezione di dati personali dei bambini.

Il Dipartimento di Giustizia degli Stati Uniti li ha accusati, in particolare, di non aver impedito a sufficienza il meno di 13 anni per utilizzare la piattaforma e per aver raccolto i loro dati senza il consenso dei genitori.