Sanção contra a Uber: Gestão algorítmica posta à prova pela lei.

Até que ponto uma empresa pode delegar a uma máquina o poder de recrutar, avaliar, remunerar, punir ou excluir um trabalhador? A recente sanção adotada pela autoridade holandesa de proteção de dados contra a empresa de transporte por aplicativo Uber nos fornece um ponto de partida para uma resposta.

A autoridade aplicou uma multa de 824.990.000 euros em 21 de agosto. à empresa, em cooperação com a CNIL, que havia iniciado o procedimento de investigação. 
A Uber utilizou software para monitorar o comportamento dos motoristas e analisar avaliações de clientes e, entre 2018 e 2022, desativou automaticamente determinadas contas de motoristas em casos de suspeita de fraude ou falta de avaliações suficientes.

A autoridade condenou a empresa por Tomada de decisões automatizada sem supervisão humana.

Esta decisão ilustra como funciona a cooperação europeia entre duas autoridades de proteção de dados e dá-nos a oportunidade de fazer um balanço do desenvolvimento da gestão algorítmica num contexto profissional e do seu quadro jurídico.

Neste caso específico, a CNIL e a autoridade holandesa estavam cooperando desde 2020, data da denúncia coletiva recebida pela CNIL da associação La Ligue des droits de l'Homme, representando mais de 170 motoristas da plataforma UBER. 

A empresa tem sede em São Francisco (Uber Technologies Inc.) e sede europeia em Amsterdã (Uber BV), razão pela qual a autoridade holandesa conduziu as investigações e tomou uma posição, após analisar com a França as provas obtidas e examinar conjuntamente a minuta da decisão final. 

Esta decisão é a terceira tomada pelos Países Baixos num caso em que a empresa já foi condenada por não informar os motoristas e por transferir ilegalmente dados para os Estados Unidos. 

O texto relembra principalmente as regras que devem reger a gestão algorítmica e enfatiza que a verificação humana é essencial antes de qualquer decisão ser tomada com base em um algoritmo.

Isso também nos dá a oportunidade de lembrar que, além dessa necessária intervenção humana e da obrigação de informar os funcionários, a gestão algorítmica estará, na maioria das vezes, inserida em um contexto que envolve tanto a consideração do princípio da "privacidade desde a concepção" quanto a realização prévia de uma avaliação de impacto sobre a proteção de dados (AIPD) pelo empregador. 

Antes de implementar novas tecnologias de monitoramento ou gestão no local de trabalho, sejam elas relacionadas a recrutamento, gestão de recursos humanos, medição da eficácia dos funcionários ou alocação de tarefas, os empregadores devem implementar medidas de proteção técnicas e organizacionais desde o início. 

Essas medidas devem ser adaptadas aos riscos envolvidos e podem incluir, em particular, processar menos dados, recorrer ao pseudonimização e para limitar o acesso.

Resumindo, A proteção da privacidade não pode ser uma consideração secundária.. Deve ser integrado desde o início no projeto das tecnologias utilizadas no local de trabalho.

Por outro lado, o gestão algorítmica Na maioria dos casos, será considerado como um tratamento. «"Alto risco"» exigindo um análise de impacto porque atendem a uma série de critérios listados no RGPD Essas ferramentas geralmente envolvem novas soluções tecnológicas, tomada de decisão automatizada, monitoramento, combinação de conjuntos de dados, e os funcionários se encontram em uma situação de dependência em relação ao empregador.

O objetivo deste AIPD vai ser’Identificar, avaliar e mitigar riscos relacionado à introdução dessa nova tecnologia, levando em consideração o impacto sobre os funcionários e seu ponto de vista.

Esses princípios essenciais do RGPD serão em breve complementados por outras medidas de proteção.

Se o regulamentação da IA já entrou em vigor; certas disposições relativas a sistemas de IA de alto risco serão aplicáveis a partir de Dezembro de 2027. 
L'Artigo 9 e oAnexo III Os regulamentos exigirão que os empregadores implementem um sistema de gestão de riscos quando utilizam IA para determinadas tarefas relacionadas ao emprego e à gestão de pessoal, por exemplo, publicar ofertas de emprego direcionadas, analisar e filtrar candidaturas ou avaliar candidatos.

Em certos casos específicos onde os riscos são particularmente elevados, um avaliação do impacto sobre os direitos fundamentais Também será necessário realizar isso em paralelo com o AIPD.

Além disso, novas regras europeias relacionadas a trabalhar em plataformas entrará em vigor em 2 de dezembro próximo.

Essas medidas visam regulamentar o uso de algoritmos para a gestão de recursos humanos em plataformas de trabalho digitais.

Os empregadores terão, portanto, que Informar os trabalhadores sobre o uso da IA., e esses sistemas precisarão ser supervisionados por pessoal qualificado, beneficiando-se de proteção especial contra qualquer tratamento adverso.

UM supervisão humana Isso também terá que ser garantido para decisões importantes, como a suspensão de contas.

Neste contexto em constante evolução, o sanção holandesa Isso serve como um lembrete muito útil, especialmente porque parece ser apenas o começo.

Em setembro deste ano, motoristas de diversos países europeus contrataram um Ação coletiva em Amsterdã contra a Uber, Desta vez, contestando o uso do algoritmo para remuneração e alocação de viagens.

Na França

Apenas algumas semanas após o Parlamento ter adotado o’proibição do uso de redes sociais para menores de 15 anos, a lei era bloqueado pelo Conselho Constitucional.

Ele estimou o 14 de agosto Por fim, essa proibição« infringiria a liberdade de expressão e comunicação dos menores. e, além disso, estaria manchada por um excesso de competência.".

O Conselho Constitucional observa ainda que esta proibição teria como consequência a obrigação de Todos os usuários, incluindo adultos, devem comprovar sua idade. antes de acessar determinados serviços online.

No entanto, a lei não definiu os procedimentos nem os limites dessa verificação: o legislador, portanto, não previu garantias suficientes para proteger o direito ao respeito pela vida privada, garantido pela’Artigo 2 da Declaração de 1789.

O Conselho não questiona o objetivo de proteger os menores, mas exige que os sistemas de verificação de idade conciliem esse objetivo com a proteção de dados e a privacidade de todos os usuários.

O governo não abandonou o projeto, e o primeiro-ministro foi incumbido de "elaborar, o mais rápido possível, um projeto de lei juridicamente sólido". Inicialmente, a lei estava prevista para entrar em vigor em 1º de janeiro de 2027. O governo agora está mirando no Primavera de 2027.

Lá DGFiP confirmado 14 de agosto que agentes maliciosos obtiveram acesso ilegítimo ao seu sistema de informação e conseguiram visualizar e extrair dados de 678.000 indivíduos e profissionais.

Essas preocupações informações fiscais (renda de referência, quociente familiar, taxa de imposto retido na fonte, número SIREN e nome da empresa) e dados cadastrais (endereços e áreas de imóveis).

A intrusão foi inicialmente detectada e bloqueada. final de junho, foi revelado após uma reivindicação pública de responsabilidade pelos atacantes em meados de agosto.

Os indivíduos afetados foram informados individualmente e o A violação de dados foi comunicada à CNIL..

A suposta invasão foi possibilitada por comprometer as credenciais de um agente, aliado a um acesso externo insuficientemente protegido.

L'ausência de autenticação de dois fatores O acesso generalizado aos agentes constitui uma fragilidade identificada a posteriori: Bercy anunciou a aceleração de sua implantação após o ataque.

Note-se que a França foi levada perante o Tribunal de Justiça da União Europeia (TJUE) Para falha na transposição da diretiva europeia NIS2 (Segurança de redes e informações). A transposição deveria ter ocorrido o mais tardar em Outubro de 2024.

Lá CNIL publicou o 10 de agosto um lembrete das medidas a serem tomadas para garantir a’independência do encarregado da proteção de dados (DPO).

A publicação tem como objetivo ajudar as empresas a identificar e gerenciar os riscos de conflitos de interesse relacionado a essa função. Lista as funções em risco e propõe maneiras de lidar com conflitos de interesse.

Na Europa

Instituições e órgãos europeus

Lá Comissão Europeia designado o 31 de agosto ChatGPT, Reddit e Roblox sendo respectivamente um mecanismo de busca online muito grande e dois plataformas online muito grandes.

O ChatGPT, como todos sabem, é um sistema de inteligência artificial (IA) capaz de interagir com os usuários e responder às suas solicitações e perguntas, principalmente realizando buscas na web, o que, segundo a Comissão, o torna um serviço híbrido que se enquadra no âmbito de Lei de Serviços Digitais (DSA).

O Reddit é uma plataforma que permite aos usuários criar, compartilhar, visualizar e interagir com conteúdo dentro de comunidades organizadas por tema.

Roblox é uma plataforma imersiva de jogos e criação que permite aos usuários criar, publicar e jogar jogos desenvolvidos por outros usuários.

Essas designações conferem à Comissão poderes investigativos específicos e necessitam desses serviços, daqui. final de dezembro de 2026, para cumprir as obrigações adicionais estabelecidas no DSA, particularmente no que diz respeito a’avaliação e mitigação de riscos sistêmicos decorrentes de seus sistemas algorítmicos.

Na opinião de 11 de agosto por último, o Autoridade Europeia para a Proteção de Dados (AEPD) está preocupado com uma reforma que permitiria Europol processar e armazenar dados de forma mais ampla pessoas sem vínculo comprovado com uma investigação criminal.

Ele está particularmente preocupado com o fato de que a expansão das capacidades analíticas da Europol possa levar ao estabelecimento de ligações ou perfis entre indivíduos e atividades criminosas sem fundamentos suficientemente comprovados.

O EDPS salienta que quanto mais capacidades de análise automatizada a Europol tiver, maior será o risco de passar de uma para outra. cobrança baseada em suspeita para um lógica da coleta preventiva em massa.

Ele está exigindo garantias mais rigorosas em relação a necessidade, proporcionalidade, prazo de validade e controle, para que a eficácia do combate ao crime não comprometa o direito à privacidade e à proteção de dados.

Notícias dos países membros da União Europeia.

A publicidade agora está chegando aos carros. A fabricante alemã BMW lançaram uma campanha publicitária neste verão sobre o’tela principal dos seus modelos de carros mais recentes.

Quando os motoristas ligavam seus carros, uma animação promocional do próximo filme do Homem-Aranha aparecia na tela. O anúncio ocupava a maior parte da tela por alguns segundos. quase 20 segundos E Algumas funções foram temporariamente desativadas. tais como navegação, multimídia e ar condicionado. 
Este ensaio clínico abrange diversos modelos recentes e foi implementado em mais de 70 países.

UM Tribunal austríaco considerou que a autoridade nacional de proteção de dados (APD) poderia recusar-se a dar seguimento a uma reclamação referente a um pedido de acesso apresentado por uma associação em nome de um indivíduo.

O tribunal aponta para o o modelo econômico da associação, e o fato de obter benefício financeiro de decisões judiciais favoráveis, mesmo que a pessoa em questão não manifeste explicitamente interesse em apresentar a petição em questão: "uma procuração geral destinada a buscar automaticamente violações de proteção de dados e obter benefícios financeiros justifica a recusa em processar uma reclamação nos termos da«Artigo 57(4) do RGPD e a jurisprudência relevante do Tribunal de Justiça da União Europeia (TJUE), do Supremo Tribunal Administrativo (VwGH) e do Tribunal Administrativo Federal (BVwG).»  

O 26 de agosto, O governo dos Estados Unidos registrou Autistas/Inventados (A/I), um coletivo italiano de alojamento associativo, sobre o Lista de organizações e membros de organizações consideradas terroristas.

O governo Trump acusa o grupo de ter fornecido um "« apoio material »"para grupos antifascistas e de esquerda através de seus serviços de hospedagem.".

Organizações americanas ligadas à IA devem cessar todas as relações antes do 25 de setembro, o nome de domínio autistici.org Foi suspenso pelo administrador de domínios .org dos EUA., cortar o acesso aos e-mails e serviços do coletivo para seus usuários. 

Lá Noruega pretende regulamentar rigorosamente o óculos inteligentes.

O 25 de agosto, A ministra responsável pela digitalização afirmou que desejava que esses óculos fossem submetidos a regulamentações mais rigorosas., proibindo, em particular, o reconhecimento facial em locais públicos..

O ministro pretende nomear um grupo de especialistas encarregado de formular recomendações sobre a regulamentação de câmeras e microfones integrados em óculos, fones de ouvido e dispositivos similares de uso cotidiano.

Internacionalmente

No Reino Unido, uma pequena unidade britânica de geração de eletricidade era fora de serviço por quatro dias em julho, após um Ciberataque atribuído a hackers ligados ao Irã.

O incidente, considerado o Primeiro sucesso conhecido de um grupo iraniano contra uma infraestrutura energética britânica., não causou qualquer interrupção ou ameaça à rede nacional, uma vez que o local não constituía infraestrutura crítica.

O governo britânico, no entanto, reforço das medidas de cibersegurança no setor energético, O ataque está sendo visto como um alerta sobre a crescente vulnerabilidade da infraestrutura nacional.

Do outro lado do Canal da Mancha também, o Polícia de Transportes Britânica (BTP) estendido para Agosto de 2026 sua experimentação com reconhecimento facial em tempo real (LFR) em determinadas estações do metrô de Londres, após uma implantação inicial em fevereiro.

A tecnologia compara os rostos dos viajantes com um lista de pessoas procuradas, especialmente em casos de crimes graves, a fim de permitir uma intervenção rápida da polícia.

As autoridades afirmam que o plano é direcionado, baseado em informações de inteligência e que o Imagens de pessoas que não correspondem à lista são excluídas..

O teste deve continuar até Novembro de 2026. O fato de milhares de viajantes terem sido examinados dessa forma sem serem suspeitos de qualquer irregularidade reacende o debate sobre o assunto. proporcionalidade e o quadro legal para a vigilância biométrica no Reino Unido.

No Brasil, o APD infligiu o 25 de agosto tem ByteDance uma multa de 153,7 milhões de reais (25,4 milhões de euros) para o tratamento de dados sobre crianças e adolescentes no TikTok, acompanhado por um liminar de remoção Dados coletados de forma irregular.

A decisão diz respeito a dois modos de acesso, nomeadamente o feed de notícias acessível a todos sem ligação à internet e o acesso através de uma conta registada, cujo tratamento viola vários princípios da lei de proteção de dados.

Em ambos os casos, a autoridade observou um ausência de uma base legal válida e medidas de proteção eficazes.

Lá Coréia do Sul lança« Inteligência Artificial para Todos »um programa destinado a oferecer Acesso gratuito e ilimitado a serviços de IA generativa para todos os seus cidadãos..

O objetivo é democratizar o uso da IA, ao mesmo tempo que se fortalece a soberania tecnológica do país em comparação com os modelos dos Estados Unidos e da China.

A inteligência artificial será integrada aos serviços públicos para facilitar procedimentos médicos, fiscais, imobiliários ou educacionais, e também para ajudar as pequenas empresas.

O governo está planejando um orçamento para IA de US$ 7,2 bilhões em 2026, com implementação em todo o país planejada até o final do ano.

A Hong Kong, O Centro Nacional de Segurança Cibernética publicou diretrizes para IA agente.

O documento define cinco categorias de risco (acesso estendido, vulnerabilidades do sistema, plugins ou habilidades vulneráveis, desvio funcional e riscos associados a múltiplos agentes), fórmula nove recomendações alinhada com os princípios de proteção de dados e propõe um anexo contendo um lista de verificação de segurança Abrange a avaliação, preparação, implementação, utilização e desinstalação de agentes de IA.

Ele recorda ainda que este último não são entidades legais, e isso A organização continua responsável pelos dados..

Para ESTADOS UNIDOS, câmeras de vigilância da empresa Segurança do rebanho Essas câmeras estão se multiplicando, não sem provocar fortes reações. leitura automática de placas de veículos com o suposto objetivo de combater o crime.

No entanto, várias cidades e moradores estão preocupados com os riscos à privacidade, particularmente com a possibilidade de que os dados possam ser acessados por outros serviços policiais ou usado no contexto dos controles de migração.

Pesquisadores de segurança cibernética também revelaram vulnerabilidades que potencialmente permitem o acesso a certas imagens, Isso aumentou as preocupações com a segurança dos dados. Diante dessas controvérsias, alguns municípios rescindiram seus contratos ou desativaram as câmeras.

Nos Estados Unidos também, Meta concluído acordo com o sistema judiciário sobre a segurança dos adolescentes.

Este acordo foi concluído com 51 Procuradores-Gerais Encerra um processo que o acusava de ter projetado o Instagram e o Facebook para incentivar o uso compulsivo entre jovens e ter minimizado os riscos associados.

O acordo prevê até US$ 17,1 bilhões pagos aos Estados ao longo de dez anos, bem como novas regras para o menores de 18 anos.

As medidas incluem um limite de uso diário, A bloqueio noturno, desativando as notificações durante determinados períodos, o remoção da exibição de "curtidas"«, a proibição de filtros de cirurgia estética e a possibilidade de usar um feed de notícias não personalizado.

UM verificação de idade também terá que excluir o menores de 13 anos.

O acordo finalmente prevê um auditor independente responsável por monitorar sua aplicação.

As restrições poderiam ser reforçadas se outras grandes plataformas adotassem regras semelhantes, tornando este acordo um possível modelo para todo o setor.

Ainda sobre o mesmo assunto, e nos Estados Unidos, TikTok e sua empresa controladora ByteDance concordou em pagar US$ 400 milhões para pôr fim aos processos judiciais relativos à coleta e proteção de dados pessoais de crianças.

O Departamento de Justiça dos EUA os acusou, em particular, de não terem impedido suficientemente o menores de 13 anos para usar a plataforma e para que seus dados fossem coletados. sem consentimento dos pais.