Automatiserte avgjørelser: hva betyr Uber-gebyret på 825 mill. euro for norske selskaper?

Tenk deg en matbud som åpner appen før kveldsskiftet og får beskjed om at kontoen er deaktivert. Ingen har ringt, og ingen kan forklare hvorfor. Systemet har registrert noe det tolker som juks, og inntekten er borte fra det øyeblikket. Det er i praksis dette Uber nå har fått et gebyr på 824 990 000 euro for.

Hva ble Uber ilagt gebyr for?

Det nederlandske datatilsynet, Autoriteit Persoonsgegevens (AP), fant at Uber traff helautomatiserte avgjørelser om sjåfører i perioden 2018 til 2022. Programvare fulgte med på kjøremønster og kundevurderinger. Ved mistanke om svindel eller for lave vurderinger ble kontoen deaktivert automatisk, midlertidig eller permanent ved vedvarende lave vurderinger. Ingen menneskelig vurdering fant sted før sjåføren mistet inntekten.

AP la til grunn brudd på forbudet mot helautomatiserte avgjørelser i GDPR art. 22 og på informasjonsplikten i GDPR art. 13, fordi sjåførene ikke fikk tilstrekkelig informasjon om de automatiserte avgjørelsene og profileringen. Ifølge tilsynet har Uber stanset praksisen.

Saken startet med at 171 franske sjåfører gikk til menneskerettighetsorganisasjonen Ligue des droits de l’Homme, som klaget til det franske datatilsynet CNIL. Fordi Ubers europeiske hovedkontor ligger i Nederland, ble saken behandlet av AP etter ettstedsmekanismen i personvernforordningen. AP opplyser at gebyret er samordnet med de andre europeiske tilsynene. Tilsynet publiserte saken 21. august 2026, og EDPB omtalte den 8. oktober.

Har Uber anket gebyret?

Ja. Uber har anket, og det foreligger ingen endelig rettsavgjørelse. Gebyret er derfor ikke rettskraftig, og beløpet kan bli redusert eller opphevet.

Det er heller ikke første gang AP og Uber møtes. Dette er det fjerde gebyret tilsynet har ilagt selskapet, og Uber angriper fortsatt de to forrige.

Når er automatiserte avgjørelser forbudt etter GDPR art. 22?

Automatiserte avgjørelser er forbudt når tre vilkår er oppfylt. Avgjørelsen er utelukkende basert på automatisert behandling, den gjelder en enkeltperson, og den har rettsvirkning eller påvirker personen i betydelig grad på tilsvarende måte. Regelen gjelder i Norge gjennom personopplysningsloven § 1, som gjør forordningen til norsk lov. Flere av de grunnleggende reglene er samlet på pilarsiden om personvern.

Å miste inntekten fra én dag til den neste er klart en betydelig påvirkning. Uber-saken er derfor ingen grensesak på dette punktet. Det samme gjelder avslag på lån, stenging av en kundekonto som virksomheten lever av, eller automatisk sortering av jobbsøkere.

Forbudet rekker lenger enn mange tror. I C-634/21 SCHUFA kom EU-domstolen til at selve kredittscoren kan være en automatisert avgjørelse når banken i stor grad bygger på den. Det hjelper altså lite at et menneske formelt «avgjør» saken hvis vedkommende i realiteten følger tallet fra systemet.

Et menneske som bare trykker «godkjenn» på forslaget fra systemet, gjør ikke avgjørelsen mindre automatisert.

Hvilke unntak finnes?

GDPR art. 22 nr. 2 åpner for automatiserte avgjørelser i tre tilfeller. Avgjørelsen kan være nødvendig for å inngå eller oppfylle en avtale, den kan ha hjemmel i lov, eller den registrerte kan ha gitt uttrykkelig samtykke.

Selv når et unntak gjelder, krever GDPR art. 22 nr. 3 at den registrerte har rett til menneskelig inngripen, til å legge fram sitt syn og til å bestride avgjørelsen. Uber-sjåførene fikk ingen menneskelig vurdering før kontoen ble stengt. Det er vanskelig å se at et unntak kunne reddet ordningen uten nettopp den.

Hva må virksomheten informere om?

Virksomheten må opplyse om at den bruker automatiserte avgjørelser, gi meningsfull informasjon om logikken bak og forklare hvilke følger avgjørelsen kan få. Kravet følger av GDPR art. 13 nr. 2 bokstav f når opplysningene samles inn fra personen selv, og av GDPR art. 14 nr. 2 bokstav g ellers. Den registrerte kan også kreve den samme informasjonen ved innsyn etter GDPR art. 15 nr. 1 bokstav h.

EU-domstolen presiserte i C-203/22 Dun & Bradstreet Austria at forklaringen skal gjøre det mulig å forstå hvordan avgjørelsen ble truffet. Det betyr ikke at algoritmen må utleveres. Forretningshemmeligheter er heller ikke en grunn til å nekte enhver forklaring. Vi har skrevet mer om fristene og unntakene i artikkelen om innsynskrav.

Hvor store gebyrer kan automatiserte avgjørelser gi?

Brudd på art. 22 og informasjonsplikten kan gi gebyr på inntil 20 mill. euro eller 4 prosent av konsernets globale årsomsetning, det høyeste av de to, etter GDPR art. 83 nr. 5. AP oppgir at Uber hadde en global omsetning på om lag 44,5 mrd. euro i 2025. Gebyret utgjør dermed knapt 2 prosent, eller under halvparten av maksimum.

For en norsk virksomhet med 500 mill. kroner i omsetning er det omsetningsbaserte taket lavere enn 20 mill. euro. Taket er da 20 mill. euro. For de fleste er et pålegg om å stanse en automatisert prosess som driften er bygget rundt, minst like kostbart som gebyret.

Gjelder dette bare plattformselskaper?

Nei. Art. 22 beskytter alle registrerte, enten de er ansatte, oppdragstakere, kunder eller jobbsøkere. Vedtaket treffer like gjerne en bank som stenger kontoer ved mistanke om hvitvasking, en markedsplass som utestenger selgere, eller en arbeidsgiver som lar et system avgjøre hvem som får vakter.

For plattformarbeid kommer det i tillegg særregler. Plattformdirektivet (EU) 2024/2831 skal være gjennomført i EU innen 2. desember 2026, og krever blant annet at beslutninger om å begrense, suspendere eller avslutte en konto tas av et menneske. Om og når direktivet blir en del av EØS-avtalen, er ikke avklart. For arbeidstakere gjelder også reglene om kontrolltiltak i arbeidsmiljøloven kapittel 9 og plikten til å drøfte bruk av KI med tillitsvalgte, som vi har omtalt i artikkelen om KI-avtalen i arbeidslivet.

Hva bør virksomheten gjøre nå?

Begynn med å kartlegge hvor systemer i dag stenger, avviser, prioriterer eller rangerer personer uten at et menneske går inn i saken. Mange slike prosesser ligger skjult i svindelfiltre, kredittsjekker og regelmotorer som ble satt opp før noen tenkte på personvern.

1. Avgjør for hver prosess om avgjørelsen har betydelige følger for personen. Gjør den det, trengs enten et unntak etter art. 22 nr. 2 eller en reell menneskelig vurdering før avgjørelsen får virkning.
2. Gi den som skal vurdere saken tid, tilgang til grunnlaget og myndighet til å overprøve systemet. Logg hvor ofte systemets forslag blir endret. Endres det aldri, er vurderingen trolig ikke reell.
3. Gjennomfør en DPIA. Systematisk og omfattende vurdering av personer som avgjørelser bygges på, krever det etter GDPR art. 35 nr. 3 bokstav a. Se vår gjennomgang av DPIA for KI-verktøy.
4. Skriv personvernerklæringen slik at den forklarer hvilke signaler som utløser tiltak, og hva personen kan gjøre for å få saken vurdert på nytt.

Det siste punktet er det billigste. Uber ble ilagt gebyr også fordi sjåførene ikke fikk vite hvordan systemet virket, og det bruddet kunne vært unngått med en ærlig side i personvernerklæringen og en kanal der sjåførene fikk snakke med et menneske.

Spørsmål og svar

Neste faglige kontroll: 15. desember 2026