Newsletter GDPRhub přinesl přehled rozhodnutí evropských dozorových úřadů za uplynulý týden. Nejvýraznější je rekordní pokuta pro Uber v Nizozemsku, dále úřady řešily zabezpečení citlivých databází i neoprávněné zveřejnění osobních údajů v médiích.

Nizozemský Úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens) uložil společnosti Uber pokutu 824,99 milionu eur za automatizované deaktivace účtů řidičů bez lidské kontroly mezi lety 2018 a 2022. Software firmy sledoval chování řidičů při jízdě i jejich hodnocení od zákazníků a na základě algoritmického vyhodnocení účty pozastavoval nebo trvale rušil bez jakéhokoli lidského zásahu, což podle úřadu porušuje článek 22 GDPR zakazující plně automatizované rozhodování s právními nebo obdobně významnými dopady. Uber podle úřadu zároveň dostatečně transparentně neinformoval řidiče o tom, jak automatizované rozhodování funguje – pouhé oznámení o deaktivaci po faktu požadavkům na transparentnost nestačí. „Počítač by neměl sám rozhodovat o věcech, které mají pro člověka zásadní důsledky," uvedla místopředsedkyně úřadu Monique Verdier. Pokuta odpovídá přibližně 1,85 procenta celosvětového obratu Uberu a jde o druhou nejvyšší pokutu v historii GDPR – firma se proti rozhodnutí odvolala, stejně jako proti dvěma starším nizozemským pokutám z let 2023 a 2024.

Britský Information Commissioner's Office napomenul Criminal Records Office (ACRO), který spravuje britský rejstřík trestů, za nedostatečná bezpečnostní opatření – chybějící účinné řízení záplat a bezpečnostní monitoring umožnily dlouhodobý neoprávněný přístup k systémům obsahujícím citlivé osobní údaje. Případ ukazuje, že požadavky GDPR na zabezpečení dat platí stejně přísně pro veřejné instituce jako pro soukromé firmy.