Wat was er aan de hand?
Uber is onderdeel van een internationaal opererend concern dat door middel van een digitaal platform online diensten in de vervoersector aanbiedt. Uber koppelt passagiers via applicaties aan chauffeurs. Passagiers maken gebruik van de Uber Rider app, chauffeurs van de Uber Driver app.
Verzoekers in deze procedure zijn werkzaam geweest als Uber-chauffeur waarbij zij gebruik maakten van de diensten van Uber via de Driver app. In het Privacy Statement van Uber staat opgenomen in algemene zin over geautomatiseerde besluitvorming het volgende vermeld:
“We use personal data to make automated decisions relating to use of our services. This includes: (…) Deactivating users who are identified as having engaged in fraud or activities that may otherwise harm Uber, its users, and others. In some cases, such as when a user is determined to be abusing Uber’s referral program, such behavior may result in automatic deactivation.”
Verzoekers hebben allen afzonderlijk een bericht ontvangen van Uber met de mededeling dat hun Driver account is gedeactiveerd, omdat Uber heeft vastgesteld dat zij de toepasselijke contractuele voorwaarden van Uber hebben geschonden, doordat zij zich schuldig hebben gemaakt aan fraude. Daarbij geven ze een samenvatting van het type schendingen:
“Upon review of your account, we noticed a continued pattern of improper use of the Uber application. (...) We are not able to go into great details but the examples of improper use include using your rider and driver account at the same time, creating duplicate accounts, accepting trips without the intention of completing them, claiming false fees or charges, the installation, and use of software which has the intention or effect of manipulating the Driver App and trip details.”
Op het verzoek van de chauffeurs om de deactivering van de accounts ongedaan te maken zodat de chauffeurs weer in staat zijn hun werkzaamheden te hervatten, wordt niet voldaan. Zodoende besluiten de chauffeurs een procedure te starten met als doel inzage te krijgen in het bestaan van geautomatiseerde besluitvorming, met in begrip van profilering (artikel 22 lid 1 en 4 AVG), ten tenminste in die gevallen, nuttige informatie over de onderliggende logica te verkrijgen. Daarnaast vorderen ze schadevergoeding wegens schending van de AVG.
Volgens de chauffeurs is het besluit van Uber tot deactivering van hun accounts volledig geautomatiseerd zonder betekenisvolle menselijke tussenkomst genomen. Een besluit waardoor de chauffeurs in aanmerkelijke mate zijn getroffen, omdat daarmee direct een einde is gekomen aan de overeenkomst met Uber en zodoende aan hun inkomsten. Daarnaast kan deactivering door Uber ertoe leiden dat de taxilicentie van een chauffeur wordt ingetrokken. Voor de toepassing van geautomatiseerde besluitvorming hebben de chauffeurs geen uitdrukkelijke toestemming aan Uber verleend. Evenmin was de toepassing hiervan noodzakelijk voor de uitvoering van de overeenkomst tussen Uber en de chauffeurs Uber heeft geen passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de chauffeurs genomen. De chauffeurs zijn vervolgens naar eigen zeggen niet in de gelegenheid gesteld hun standpunt kenbaar te maken of het besluit aan te vechten. Dit alles achten zij in strijd met artikel 22 AVG.
Verder heeft Uber de chauffeurs voorafgaand aan de toepassing van de geautomatiseerde besluitvorming en/of profilering niet geïnformeerd over de onderliggende logica daarvan en het belang en de verwachte gevolgen van die verwerking voor de chauffeurs. Hiermee heeft Uber haar transparantieverplichtingen onder de AVG geschonden. Ook heeft Uber het transparantiebeginsel geschonden, omdat Uber de chauffeurs niet hebben geïnformeerd over de soort fraude waarvan zij beschuldigd worden en de chauffeurs er niet van op de hoogte gesteld dat hun accounts bij fraude zouden worden geblokkeerd. Daarnaast heeft Uber nagelaten om de gronden voor het besluit in begrijpelijke woorden uit te leggen. De chauffeurs hebben hun schade door de schendingen van de AVG begroot op € 750,00 per chauffeur.
Geen sprake van geautomatiseerde besluitvorming
De chauffeurs voeren aan dat uit de privacyverklaring van Uber en op haar website gepubliceerde informatie volgt dat zij zijn onderworpen aan volledig geautomatiseerd genomen besluiten in de zin van artikel 22 AVG. Dat geen sprake is geweest van betekenisvolle menselijke tussenkomst blijkt uit de gestandaardiseerde en zeer algemene berichten die de chauffeurs van Uber hebben ontvangen. In deze berichten heeft Uber niet uitgelegd aan welke specifieke frauduleuze handelingen de chauffeurs zich schuldig zouden hebben gemaakt, aldus de chauffeurs.
Uber heeft aangevoerd dat zij de accounts niet op basis van uitsluitend geautomatiseerde besluitvorming heeft gedeactiveerd, waardoor artikel 22 AVG niet van toepassing is. Zij deactiveert accounts van chauffeurs pas als zij op basis van een grondig onderzoek tot de conclusie komt dat de desbetreffende chauffeur herhaaldelijk of ernstige frauduleuze activiteiten heeft gepleegd. Volgens Uber heeft de hiervoor onder 2.3 geciteerde tekst uit haar privacyverklaring geen betrekking op fraudebestrijding in de Europese Unie en het Verenigd Koninkrijk, waarbij zij geen gebruik maakt van uitsluitend geautomatiseerde besluitvorming als zij een account van een chauffeur deactiveert.
Uber heeft het besluitvormingsproces als volgt toegelicht. Door een gespecialiseerd team van werknemers van Uber (‘Risk-team’) worden potentiële frauduleuze activiteiten onderzocht. Daarbij wordt gebruik gemaakt van software waarmee potentiële frauduleuze activiteiten kunnen worden gesignaleerd. Bij een dergelijk signaal volgt afhankelijk van de ernst of duur van de activiteiten een waarschuwing aan de chauffeur of een onderzoek door een werknemer van het Risk-team. De werknemers moeten zich bij het uitvoeren van het onderzoek houden aan interne protocollen met indicatoren die kunnen duiden op verschillende frauduleuze activiteiten. Op grond van de protocollen moeten de werknemers de potentiële fraudesignalen en de feiten en omstandigheden analyseren om het bestaan van fraude te bevestigen of uit te sluiten. Zij gebruiken daarbij ook feiten en omstandigheden die zij op basis van hun kennis en ervaring relevant achten. Als een werknemer op basis van het onderzoek vaststelt dat sprake is van een consequent patroon van fraude, kan worden besloten om het account van de chauffeur te deactiveren. Hiervoor is een unaniem besluit van twee werknemers van het Risk-team nodig. Bij conflicterende conclusies vindt onderzoek door een derde werknemer uit het Risk-team plaats.
Volgens Uber hebben de chauffeurs herhaaldelijk frauduleuze activiteiten gepleegd en zijn hun accounts gedeactiveerd nadat het Risk-team een consequent patroon van fraude had geconstateerd. Hierover zijn de chauffeurs geïnformeerd. Ook na de sommatiebrief van de advocaat van de chauffeurs heeft Uber nogmaals een onderzoek laten doen door het Risk-team, met dezelfde eindconclusie: er is fraude gepleegd.
Het is op basis van deze uitleg dat de rechtbank aanneemt dat van een beslissing die uitsluitend gebaseerd is op geautomatiseerde besluitvorming. Uit de toelichting van Uber ter zitting, blijkt dat het automatische besluit enkel direct na een fraudesignaal tijdelijk wordt genomen, waarna vervolgens door menselijke tussenkomst een uiteindelijke beslissing wordt genomen.
Wel schending transparantieverplichtingen
Over de mogelijke gevolgen van frauduleuze handelingen zijn de chauffeurs volgens de rechtbank voldoende geïnformeerd, via tal van toepasselijke voorwaarden. Er is zodoende op dat vlak geen sprake van schending van transparantieverplichtingen.
Wel heeft Uber bij een aantal chauffeurs nagelaten toe te lichten welke specifieke frauduleuze handelingen hebben geleid tot deactivering van hun accounts. Op basis van de informatie die Uber heeft gegeven kunnen zij niet controleren welke persoonsgegevens Uber heeft gebruikt in het besluitvormingsproces dat tot dit besluit heeft geleid. Hierdoor is het besluit tot deactivering van hun accounts onvoldoende inzichtelijk en controleerbaar. Dit heeft tot gevolg dat Uber aan de betreffende chauffeurs op grond van artikel 15 AVG inzage moet verstrekken in hun persoonsgegevens voor zover die ten grondslag hebben gelegen aan het besluit tot deactivering van hun accounts, op zodanige wijze dat zij in staat zijn de juistheid en rechtmatigheid van de verwerking van hun persoonsgegevens te controleren.
Geen recht op schadevergoeding, ondanks schending van de AVG
Het verzoek om schadevergoeding in de zin van artikel 82 AVG zal worden afgewezen. Enkel ten aanzien van de desbetreffende chauffeurs wier frauduleuze handelingen niet kenbaar zijn gemaakt is sprake van een inbreuk op een of meer bepalingen van de AVG. Dat zij als gevolg van deze inbreuk immateriële schade in de zin van artikel 6:106 BW hebben geleden, hebben zij volgens de rechtbank onvoldoende met concrete gegevens onderbouwd. Met name hebben zij niet gemotiveerd dat sprake is van aantasting van hun eer of goede naam dan wel van aantasting van hun persoon op andere wijze.
Zonder de inhoud van de processtukken te kennen en op basis van deze korte beslissing, lijkt me deze beslissing in het licht van de jurisprudentiële ontwikkeling van immateriële schadevergoeding correct genomen. Waar het in de recente jurisprudentie nog wel eens onjuist wordt toegepast (vgl. Rechtbank Noord-Nederland 12 januari 2021), lijkt hier het EBI-arrest op juiste wijze te worden toegepast. Een enkele schending van de AVG geeft geen recht op schadevergoeding.
Tot slot
Een interessant vonnis over geautomatiseerde besluitvorming en profilering; iets waar niet veel over geprocedeerd wordt. Ook de beslissing op de vordering uit hoofde van immateriële schadevergoeding onder de AVG is in de spaarzame jurisprudentie bruikbaar voor de praktijk.
Heeft u vragen over geautomatiseerde besluitvorming, of schadevergoeding onder de AVG? Ik ben u graag van dienst.
Sven Wakker, advocaat Privacy
Gerelateerd
Privacy
