Что произошло
Использование алгоритмов для принятия решений, существенно влияющих на права и доходы пользователей, может привести к значительным штрафам за нарушение требований о защите персональных данных.
Нидерландский орган по защите персональных данных (Autoriteit Persoonsgegevens, AP) оштрафовал Uber на 824,99 млн евро за нарушение правил GDPR при использовании автоматизированных решений в отношении водителей. Регулятор установил, что Uber автоматически блокировал аккаунты водителей при подозрении на мошенничество или при слишком низких оценках со стороны пассажиров. Причем в ряде случаев блокировка становилась постоянной.
В результате водители лишались возможности получать доход через платформу. По мнению регулятора, решения, имеющие настолько серьезные последствия, не должны приниматься исключительно алгоритмом без участия человека.
Жалобы водителей стали основанием для расследования
Расследование началось после обращения 171 водителя из Франции в Ligue des droits de l’Homme — французскую правозащитную организацию.
Жалоба была подана во французский регулятор CNIL, после чего расследование проводил нидерландский AP, поскольку европейская штаб-квартира Uber находится в Нидерландах.
В рамках европейского механизма «одного окна» (one-stop-shop) нидерландский регулятор сотрудничал с французским CNIL и другими европейскими органами по защите данных.
Ответственность за принятия решения на основании исключительно автоматизированной обработки персональных данных в России
Российское законодательство содержит практически аналогичный запрет.
Согласно ч. 1 ст. 16 Федерального закона № 152-ФЗ «О персональных данных» (далее №152-ФЗ), запрещается принимать на основании исключительно автоматизированной обработки персональных данных решения, которые порождают юридические последствия для человека либо иным образом затрагивают его права и законные интересы.
Исключение возможно, если субъект персональных данных дал письменное согласие либо соответствующая возможность прямо предусмотрена федеральным законом с одновременным установлением гарантий прав субъекта.
Кроме того, российский оператор обязан:
разъяснить субъекту порядок принятия автоматизированного решения и возможные юридические последствия;
предоставить возможность заявить возражение против такого решения;
разъяснить порядок защиты прав и законных интересов;
рассмотреть возражение в течение 30 дней и уведомить субъекта о результатах.
Таким образом, ситуация с Uber в определенной части сопоставима с регулированием в России: если цифровая платформа использует персональные данные водителя для автоматического принятия решения, которое существенно влияет на его права или экономические интересы, одного факта работы алгоритма недостаточно — необходимо учитывать требования ст. 16 152-ФЗ.
Какой штраф возможен в России
В российском законодательстве нет отдельного состава административного правонарушения именно за нарушение ст. 16 152-ФЗ, аналогичного специальной норме GDPR о запрете автоматизированных решений.
Ответственность может наступать в зависимости от конкретных обстоятельств нарушения.
Например, если обработка персональных данных осуществляется в случаях, не предусмотренных законодательством, может применяться ч. 1 ст. 13.11 КоАП РФ. Для юридических лиц сейчас предусмотрен штраф до 300 тыс. рублей.
Если проблема заключается также в ненадлежащем информировании субъекта о происходящей обработке персональных данных, потенциально может применяться ч. 4 ст. 13.11 КоАП РФ — штраф для юридического лица составляет от 40 тыс. до 80 тыс. рублей.
Если решение принимается исключительно на основании автоматизированной обработки и отсутствует предусмотренное ч. 2 ст. 16 152-ФЗ письменное согласие субъекта, в зависимости от обстоятельств может возникнуть вопрос о применении ч. 2 ст. 13.11 КоАП РФ, предусматривающей для юридических лиц штраф до 700 тыс. рублей.
Что важно для цифровых платформ
Кейс Uber показывает, что использование алгоритмов само по себе не является проблемой. Риск возникает тогда, когда алгоритм самостоятельно принимает решение, существенно влияющее на человека, а оператор не предусматривает полноценного человеческого контроля и механизмов защиты прав субъекта.
Для российских цифровых платформ это особенно актуально при использовании автоматизированных систем для:
блокировки или ограничения аккаунтов;
отказа в предоставлении услуг;
определения рейтинга пользователя или исполнителя;
выявления подозрений в мошенничестве;
принятия решений о допуске к работе;
автоматического применения санкций на основании поведения пользователя.
В таких случаях необходимо заранее определить, затрагивает ли решение права и законные интересы субъекта, проверить основания обработки и наличие необходимых согласий, а также обеспечить предусмотренные законом механизмы информирования и обжалования.
