Sanctie tegen Uber: Algoritmisch management onderworpen aan de rechtstoets.

In hoeverre kan een bedrijf de bevoegdheid om een werknemer te werven, te beoordelen, te betalen, te sanctioneren of te ontslaan delegeren aan een machine? De recente sanctie die de Nederlandse Autoriteit Persoonsgegevens heeft opgelegd aan taxibedrijf Uber biedt ons een aanknopingspunt voor een antwoord.

De autoriteit legde op 21 augustus een boete op van € 824.990.000. aan het bedrijf, in samenwerking met de CNIL die de onderzoeksprocedure had gestart. 
Uber gebruikte software om het gedrag van chauffeurs te monitoren en klantbeoordelingen te analyseren, en deactiveerde tussen 2018 en 2022 automatisch bepaalde chauffeursaccounts in gevallen van vermoedelijke fraude of een gebrek aan voldoende beoordelingen.

De autoriteit veroordeelde het bedrijf voor Geautomatiseerde besluitvorming zonder menselijk toezicht.

Deze beslissing illustreert hoe Europese samenwerking tussen twee gegevensbeschermingsautoriteiten werkt en biedt ons de mogelijkheid om de ontwikkeling van algoritmisch beheer in een professionele context en het bijbehorende juridische kader te evalueren.

In dit specifieke geval werkten de CNIL en de Nederlandse autoriteit al sinds 2020 samen, het jaar waarin de collectieve klacht werd ingediend door de vereniging La Ligue des droits de l'Homme, die meer dan 170 chauffeurs van het UBER-platform vertegenwoordigt. 

Het bedrijf heeft een hoofdkantoor in San Francisco (Uber Technologies Inc.) en een Europees hoofdkantoor in Amsterdam (Uber BV). Daarom heeft de Nederlandse autoriteit het onderzoek uitgevoerd en een standpunt ingenomen, na de verzamelde bewijzen met Frankrijk te hebben geanalyseerd en het ontwerp van het definitieve besluit gezamenlijk te hebben bestudeerd. 

Dit is de derde uitspraak van Nederland in een zaak waarin het bedrijf al eerder is veroordeeld voor het niet informeren van chauffeurs en het illegaal overdragen van gegevens naar de Verenigde Staten. 

Het document herhaalt met name de regels die van toepassing moeten zijn op algoritmisch beheer en benadrukt dat menselijke verificatie essentieel is voordat er een beslissing wordt genomen op basis van een algoritme.

Het biedt ons ook de gelegenheid om te benadrukken dat, naast deze noodzakelijke menselijke tussenkomst en de verplichting om werknemers te informeren, algoritmisch beheer meestal onderdeel zal zijn van een context waarin zowel het principe van "privacy by design" in acht wordt genomen als de werkgever vooraf een gegevensbeschermingseffectbeoordeling (DPIA) uitvoert. 

Voordat werkgevers nieuwe monitoring- of beheertechnologieën op de werkplek implementeren, of het nu gaat om werving, personeelsbeheer, het meten van de effectiviteit van werknemers of taakverdeling, moeten ze van meet af aan technische en organisatorische beschermingsmaatregelen treffen. 

Deze maatregelen moeten worden afgestemd op de risico's en kunnen met name het volgende omvatten: minder gegevens verwerken, om hun toevlucht te nemen tot de pseudonimisering en om toegang beperken.

Samenvattend, De bescherming van de privacy mag geen ondergeschikte overweging zijn.. Het moet vanaf het begin worden geïntegreerd in het ontwerp van de technologieën die op de werkplek worden gebruikt.

Aan de andere kant, de algoritmisch beheer zal in de meeste gevallen als een behandeling worden beschouwd. «"Hoog risico"» vereisend een impactanalyse omdat ze voldoen aan een aantal criteria die zijn opgenomen in de AVG Dergelijke tools omvatten doorgaans nieuwe technologische oplossingen, geautomatiseerde besluitvorming, monitoring, het combineren van datasets, en werknemers bevinden zich in een situatie van afhankelijkheid van hun werkgever.

Het doel hiervan AIPD zal zijn’om risico's te identificeren, te beoordelen en te beperken met betrekking tot de introductie van deze nieuwe technologie, waarbij rekening wordt gehouden met de impact op de medewerkers en hun standpunt.

Deze essentiële principes van de AVG zullen binnenkort worden aangevuld met andere beschermingsmaatregelen.

Als de AI-regelgeving is reeds in werking getreden; bepaalde bepalingen met betrekking tot AI-systemen met een hoog risico zullen vanaf die datum van toepassing zijn. December 2027. 
DeArtikel 9 en deBijlage III De regelgeving zal werkgevers verplichten om een risicomanagementsysteem Wanneer ze AI gebruiken voor bepaalde taken die te maken hebben met werkgelegenheid en personeelsbeheer, bijvoorbeeld het plaatsen van gerichte vacatures, het analyseren en filteren van sollicitaties of het beoordelen van kandidaten.

In bepaalde specifieke gevallen waar de risico's bijzonder hoog zijn, een beoordeling van de impact op fundamentele rechten Dit zal ook parallel met de AIPD moeten worden uitgevoerd.

Bovendien zijn er nieuwe Europese regels met betrekking tot werken op platforms treedt in werking op 2 december volgende.

Deze maatregelen hebben tot doel het gebruik van algoritmen voor personeelsbeheer op digitale werkplatformen te reguleren.

Werkgevers zullen daarom moeten werknemers informeren over het gebruik van AI, en deze systemen zullen onder toezicht moeten staan van gekwalificeerd personeel, en profiteren van speciale bescherming tegen elke vorm van ongunstige behandeling.

A menselijk toezicht Het zal ook een garantie moeten zijn voor belangrijke beslissingen, zoals het opschorten van rekeningen.

In deze voortdurend veranderende context, de Nederlandse sanctie Dit is een zeer nuttige herinnering, vooral omdat het nog maar het begin lijkt te zijn.

In september hebben chauffeurs uit verschillende Europese landen een Collectieve rechtszaak in Amsterdam tegen Uber, waarbij ditmaal het gebruik van het algoritme voor de vergoeding en toewijzing van ritten wordt betwist.

In Frankrijk

Slechts enkele weken nadat het parlement de wet had aangenomen’verbod op sociale media voor jongeren onder de 15 jaar, de wet was geblokkeerd door de Constitutionele Raad.

Hij schatte de 14 augustus ten slotte, dat dit verbod« zou de vrijheid van meningsuiting en communicatie van minderjarigen schenden. en zou bovendien gekenmerkt worden door een overmaat aan bekwaamheid.".

De Constitutionele Raad merkt verder op dat dit verbod tot gevolg zou hebben dat er gedwongen zou worden Alle gebruikers, inclusief volwassenen, moeten hun leeftijd bewijzen. voordat u toegang krijgt tot bepaalde online diensten.

De wet definieerde echter niet de procedures of de grenzen van deze verificatie: de wetgever voorzag daarom niet in de volgende bepalingen. voldoende garanties om het recht op respect voor het privéleven te beschermen, zoals gegarandeerd door de’Artikel 2 van de Verklaring van 1789.

De Raad betwist het doel om minderjarigen te beschermen niet, maar eist dat leeftijdsverificatiesystemen dit doel verenigen met de bescherming van gegevens en de privacy van alle gebruikers.

De regering heeft het project niet opgegeven en de premier heeft de opdracht gekregen om "zo snel mogelijk een juridisch deugdelijk wetsvoorstel op te stellen". De wet zou aanvankelijk op [datum] in werking treden. 1 januari 2027. De regering streeft nu naar het volgende: Lente 2027.

Daar DGFiP bevestigd 14 augustus dat kwaadwillende personen onrechtmatig toegang hadden verkregen tot het informatiesysteem en gegevens hadden kunnen inzien en extraheren. 678.000 individuen en professionals.

Deze betreffen belastinginformatie (referentie-inkomen, gezinsquotiënt, bronbelastingtarief, SIREN-nummer en bedrijfsnaam) en kadastrale gegevens (adressen en oppervlakten van onroerend goed).

De inbraak werd aanvankelijk gedetecteerd en geblokkeerd. eind juni, Dit werd onthuld nadat de aanvallers medio augustus publiekelijk de verantwoordelijkheid voor de aanslag hadden opgeëist.

De betrokken personen werden individueel geïnformeerd en de Het datalek is gemeld aan de CNIL..

De inbraak zou mogelijk zijn gemaakt door de het in gevaar brengen van de inloggegevens van een agent, in combinatie met onvoldoende beveiligde externe toegang.

Deafwezigheid van tweefactorauthenticatie De wijdverspreide toegang tot agenten vormt een zwakte die achteraf is vastgesteld: Bercy kondigde na de aanval een versnelde inzet aan.

Merk op dat Frankrijk voor de rechter is gebracht. Hof van Justitie van de Europese Unie (HvJEU) Voor het niet omzetten van de Europese richtlijn NIS2 (Netwerk- en informatiebeveiliging). De omzetting had uiterlijk in [datum] moeten plaatsvinden. Oktober 2024.

Daar CNIL publiceerde de 10 augustus een herinnering aan de te nemen maatregelen om de garantie te waarborgen’onafhankelijkheid van de functionaris voor gegevensbescherming (FG).

Deze publicatie is bedoeld om bedrijven te helpen bij het identificeren en beheren van de risico's op belangenconflicten Het document heeft betrekking op deze functie. Het geeft een overzicht van de functies die risico lopen en stelt manieren voor om belangenconflicten aan te pakken.

In Europa

Europese instellingen en organen

Daar Europese Commissie aangewezen de 31 augustus ChatGPT, Reddit en Roblox als zijnde respectievelijk een zeer grote online zoekmachine en twee zeer grote online platforms.

ChatGPT is, zoals iedereen weet, een systeem voor kunstmatige intelligentie (AI) dat in staat is om met gebruikers te communiceren en hun verzoeken en vragen te beantwoorden, met name door webzoekopdrachten uit te voeren. Volgens de Commissie maakt dit het een hybride dienst vallend binnen het bereik van Wet op digitale diensten (DSA).

Reddit is een platform waarmee gebruikers content kunnen creëren, delen, bekijken en ermee kunnen interageren binnen communities die georganiseerd zijn op basis van thema.

Roblox is een meeslepende game- en creatieplatform waarmee gebruikers games van andere gebruikers kunnen maken, publiceren en spelen.

Deze benamingen verlenen de Commissie specifieke onderzoeksbevoegdheden en hebben deze diensten nodig, vanaf hier. eind december 2026, om te voldoen aan de aanvullende verplichtingen die zijn vastgelegd in de DSA, met name met betrekking tot de’systematische risicobeoordeling en -beperking voortkomend uit hun algoritmische systemen.

Volgens een opinie van 11 augustus als laatste, de Europese Toezichthouder voor gegevensbescherming (EDPS) is bezorgd over een hervorming die zou toestaan dat Europol om gegevens op grotere schaal te verwerken en op te slaan personen zonder aantoonbare link met een strafrechtelijk onderzoek.

Hij is met name bezorgd dat de uitbreiding van de analytische mogelijkheden van Europol zou kunnen leiden tot het leggen van verbanden of profielen tussen individuen en criminele activiteiten zonder dat daar voldoende bewijs voor is.

De EDPS wijst erop dat hoe meer geautomatiseerde analysemogelijkheden Europol heeft, hoe groter het risico is dat het systeem van de ene naar de andere overstapt. verzameling op basis van verdenking naar een logica van preventieve massaverzameling.

Hij eist strengere garanties met betrekking tot noodzaak, proportionaliteit, houdbaarheid en controle, zodat de effectiviteit van de strijd tegen criminaliteit niet ten koste gaat van het recht op privacy en gegevensbescherming.

Nieuws uit de lidstaten van de Europese Unie.

Reclame vindt nu ook zijn weg naar auto's. De Duitse fabrikant BMW lanceerde deze zomer een reclamecampagne op de’hoofdscherm van zijn nieuwste automodellen.

Toen bestuurders hun auto startten, verscheen er een promotiefilmpje voor de aankomende Spider-Man-film op het scherm. De reclame nam het grootste deel van het scherm in beslag. bijna 20 seconden En Bepaalde functies zijn tijdelijk uitgeschakeld. zoals navigatie, multimedia en airconditioning. 
Deze proef omvat verschillende recente modellen en is ingezet in meer dan 70 landen.

A Oostenrijkse rechtbank werd geacht dat de nationale gegevensbeschermingsautoriteit (DPA) weigeren actie te ondernemen naar aanleiding van een klacht met betrekking tot een toegangsverzoek ingediend door een vereniging namens een individu.

De rechtbank wijst op de het economische model van de vereniging, en het feit dat het financieel voordeel haalt uit gunstige rechterlijke uitspraken, ook al heeft de betrokkene niet expliciet aangegeven belang te hebben bij het indienen van de betreffende aanvraag: "een algemene volmacht die erop gericht is automatisch te zoeken naar datalekken en financiële voordelen te behalen, rechtvaardigt de weigering om een klacht in behandeling te nemen op grond van de«Artikel 57(4) van de AVG en de relevante jurisprudentie van het Hof van Justitie van de EU, het Hoogste Bestuursgerecht (VwGH) en het Bundesbestuursgerecht (BVwG).»  

DE 26 augustus, de Amerikaanse overheid heeft geregistreerd Autistici/Inventati (A/I), een Italiaans collectief van verenigingsbewoners, op de Lijst van organisaties en leden van organisaties die als terroristisch worden beschouwd.

De regering-Trump beschuldigt de groep ervan een "« materiële ondersteuning »"aan antifascistische en linkse groeperingen via haar huisvestingsdiensten.".

Amerikaanse organisaties die banden hebben met A/I moeten alle relaties verbreken vóórdat... 25 september, de domeinnaam autistici.org werd geschorst door de Amerikaanse beheerder van .org-domeinen., De toegang tot de e-mails en diensten van het collectief afsluiten. voor zijn gebruikers. 

Daar Noorwegen is van plan de regelgeving strikt te reguleren slimme brillen.

DE 25 augustus, De minister die verantwoordelijk is voor digitalisering verklaarde dat ze wilde dat deze brillen aan strengere regelgeving zouden worden onderworpen., waarbij met name gezichtsherkenning op openbare plaatsen verboden wordt..

De minister is van plan een benoeming te doen groep experts De opdracht was het formuleren van aanbevelingen voor de regulering van camera's en microfoons die zijn ingebouwd in brillen, koptelefoons en soortgelijke alledaagse apparaten.

Internationaal

Bij Verenigd Koninkrijk, een kleine Britse elektriciteitsopwekkingsinstallatie was vier dagen buiten gebruik in juli na een cyberaanval toegeschreven aan hackers met banden met Iran.

Het incident, beschouwd als de eerste bekende succes van een Iraanse groepering tegen een Britse energie-infrastructuur, Het veroorzaakte geen verstoring of bedreiging voor het nationale netwerk, aangezien de locatie geen kritieke infrastructuur vormde.

De Britse regering heeft desondanks versterkte cyberbeveiligingsmaatregelen in de energiesector, De aanval wordt gezien als een waarschuwing voor de toenemende kwetsbaarheid van de nationale infrastructuur.

Ook aan de overkant van het Kanaal, de Britse Transportpolitie (BTP) uitgebreid tot Augustus 2026 zijn experimenten met real-time gezichtsherkenning (LFR) op bepaalde stations van de Londense metro, na een eerste uitrol in februari.

De technologie vergelijkt de gezichten van reizigers met een lijst van gezochte personen, met name bij ernstige misdrijven, om een snelle interventie door de politie mogelijk te maken.

De autoriteiten beweren dat het plan gericht en op inlichtingen gebaseerd is, en dat de Afbeeldingen van personen die niet aan de lijst voldoen, worden verwijderd..

De test moet doorgaan totdat November 2026. Het feit dat duizenden reizigers op deze manier werden gescand zonder dat ze van enig wangedrag werden verdacht, wakkert het debat over de proportionaliteit en het juridisch kader voor biometrische surveillance in het Verenigd Koninkrijk.

Bij Brazilië, de APD bracht de 25 augustus heeft ByteDance een boete van 153,7 miljoen reais (25,4 miljoen euro) voor de behandeling van Gegevens over kinderen en tieners op TikTok, vergezeld door een verwijderingsbevel De gegevens werden onregelmatig verzameld.

De beslissing betreft twee toegangsmethoden, namelijk de nieuwsfeed die voor iedereen zonder internetverbinding toegankelijk is en de feed die toegankelijk is via een geregistreerd account. De verwerking van deze laatste methode schendt diverse beginselen van de wetgeving inzake gegevensbescherming.

In beide gevallen merkte de autoriteit op dat afwezigheid van een geldige juridische grondslag en effectieve beschermingsmaatregelen.

Daar Zuid-Korea speer« AI voor iedereen »een programma gericht op het aanbieden van Gratis, onbeperkte toegang tot generatieve AI-diensten voor al haar burgers..

Het doel is om het gebruik van AI te democratiseren en tegelijkertijd de technologische soevereiniteit van het land in vergelijking met de modellen van de Verenigde Staten en China.

AI zal worden geïntegreerd in publieke diensten om medische, fiscale, vastgoed- of onderwijsprocedures te vergemakkelijken, en ook om kleine bedrijven te ondersteunen.

De overheid plant een budget voor kunstmatige intelligentie (AI) van $7,2 miljard in 2026, met een landelijke uitrol gepland voor het einde van het jaar.

A Hongkong, Het Nationaal Centrum voor Cyberbeveiliging heeft gepubliceerd richtlijnen voor agentische AI.

Het document definieert vijf risicocategorieën (uitgebreide toegang, systeemkwetsbaarheden, kwetsbare plug-ins of vaardigheden, functionele verschuiving en risico's verbonden aan meerdere agenten), formule negen aanbevelingen afgestemd op de beginselen van gegevensbescherming en stelt een bijlage voor die een beveiligingschecklist Dit omvat de evaluatie, voorbereiding, implementatie, het gebruik en de deïnstallatie van AI-agenten.

Hij herinnert zich verder dat laatstgenoemde zijn geen rechtspersonen, en dat De organisatie blijft verantwoordelijk voor de gegevens..

Naar VERENIGDE STATEN, de bewakingscamera's van het bedrijf Veiligheid van de kudde Deze camera's nemen in aantal toe, wat niet zonder sterke reacties teweegbrengt. Kentekenplaten automatisch uitlezen met als vermeend doel het bestrijden van criminaliteit.

Verschillende steden en inwoners maken zich echter zorgen over de risico's voor de privacy, met name de mogelijkheid dat andere politiediensten of andere instanties toegang tot de gegevens zouden kunnen krijgen. gebruikt in de context van migratiecontroles.

Onderzoekers op het gebied van cyberbeveiliging hebben ook het volgende onthuld: kwetsbaarheden die mogelijk toegang geven tot bepaalde afbeeldingen, Dit heeft de bezorgdheid over gegevensbeveiliging vergroot. Geconfronteerd met deze controverses hebben sommige gemeenten hun contracten beëindigd of de camera's gedeactiveerd.

Ook in de Verenigde Staten, Meta concludeerde overeenkomst met het rechtssysteem over de veiligheid van tieners.

Deze overeenkomst werd gesloten met 51 procureurs-generaal beëindigt een rechtszaak waarin hij ervan wordt beschuldigd Instagram en Facebook te hebben ontworpen voor Het aanmoedigen van dwangmatig gebruik onder jongeren. en om de bijbehorende risico's tot een minimum te beperken.

De overeenkomst voorziet in maximaal $17,1 miljard betaald aan de staten over een periode van tien jaar, evenals nieuwe regels voor de jonger dan 18 jaar.

De maatregelen omvatten een dagelijkse gebruikslimiet, A nachtelijke blokkade, het uitschakelen van meldingen gedurende bepaalde perioden, de het verwijderen van de weergave van 'likes'«, het verbod op filters voor cosmetische chirurgie en de mogelijkheid om een niet-gepersonaliseerde nieuwsfeed.

A leeftijdsverificatie zal ook moeten uitsluiten jonger dan 13 jaar.

De overeenkomst voorziet uiteindelijk in een onafhankelijke auditor verantwoordelijk voor het toezicht op de toepassing ervan.

De beperkingen zouden kunnen worden aangescherpt als andere grote platformen soortgelijke regels invoeren, waardoor deze overeenkomst een mogelijk model voor de gehele sector.

Over hetzelfde onderwerp, en wederom in de Verenigde Staten, TikTok en het moederbedrijf ByteDance stemde ermee in te betalen $400 miljoen een einde maken aan juridische procedures betreffende de verzameling en bescherming van persoonlijke gegevens van kinderen.

Het Amerikaanse ministerie van Justitie beschuldigde hen er met name van dat ze onvoldoende maatregelen hadden genomen om de criminaliteit te voorkomen. jonger dan 13 jaar om het platform te gebruiken en hun gegevens te hebben laten verzamelen zonder toestemming van de ouders.