欧盟GDPR第二大罚单或将落地。荷兰数据保护局（AP）近日宣布，对美国网约车服务运营商Uber处以约8.25亿欧元罚款，原因是该公司在未充分履行告知和人工审核义务的情况下，完全依赖自动化决策处理与网约车司机相关的投诉，此举违反了欧洲《通用数据保护条例》（GDPR）中的相关规定。目前，Uber表示将就处罚结果提起上诉。

2019年，一位账号被封禁的法国前Uber司机收集了约170名同行证词，并在一家瑞士非营利组织PersonalData.io的协助下，取得了Uber依靠全自动化系统处理有关司机投诉的证据，进而向法国人权组织“人权联盟”（LDH）投诉。该组织创始人对此表示，“一名司机可以完成一千次让乘客满意的旅程，但只要有一个人投诉一个严重问题，就可能带来灾难性后果。”

由于Uber欧洲总部设立于荷兰，几经辗转后荷兰数据保护局接手此案。经调查发现，2018年至2022年间，Uber使用软件对司机的驾驶行为和乘客评价进行记录和追踪，并得出自动化处理结论。如果司机行为被系统判定为涉嫌欺诈，比如故意绕道收取更多路费等，其账号将被自动封禁；另外，乘客评分较低的司机账号可能被永久封禁。账号被封意味着，司机无法继续在平台上接单获取收入。

荷兰数据保护局认定，Uber上述行为违反了欧盟GDPR中禁止完全依靠自动化系统作出决策、未有人工审核参与的相关规定，并且未就自动化决策机制向司机作出充分告知，决定对其处以约8.25亿欧元（约合人民币65亿元）罚款——这一数额是按照Uber 2025年度全球营业额的一定比例计算得出。

Uber对此提出异议，解释称多数司机账号被封禁只是暂时的，未经过人工审核不会永久封禁司机账号，并且司机有能力提出上诉。“我们强烈反对这一裁决结果和不成比例的罚款。”Uber发言人表示将提起上诉。

南都记者梳理发现，近年来，Uber已多次收到来自荷兰数据保护局的罚单。2023年，Uber因隐私政策透明度不足，包括未能清晰说明数据存储期限、数据跨境传输情况等，被处以1000万欧元的罚款；2024年，因将大量欧盟司机的敏感个人数据传至美国总部，且未采取充分保护措施，Uber被处以2.9亿欧元罚款。

值得关注的是，如果针对Uber的处罚落地，这将成为欧洲GDPR实施以来开出的第二大罚款，仅次于2023年Facebook因非法将欧洲Facebook用户的数据传输到美国，被爱尔兰数据保护委员会（DPC）处以12亿欧元罚款。

采写：南都N视频记者 樊文扬