達文西個資即時快報
盤點全球最新焦點
文章整理：林舒涵律師
審閱：孔德澔律師
監理動態：
一、 荷蘭個資保護局重罰Uber近8.25億歐元：自動停用駕駛帳號違反GDPR自動化決策及透明義務
1. 事實
荷蘭個人資料保護局（Autoriteit Persoonsgegevens, AP）於2026年8月17日作成裁罰決定，認定Uber Technologies Inc.及其歐洲相關公司於2018年至2022年間，透過自動化系統對歐洲地區駕駛作成暫停或停用帳號的決定，違反GDPR關於自動化決策及資訊透明的規定，因此對Uber裁處8億2,499萬歐元罰鍰，AP並於同年8月21日對外公布該決定。案件源於171名法國Uber駕駛透過法國人權組織Ligue des droits de l’Homme（LDH）提出申訴；由於Uber的歐洲總部設於荷蘭，依GDPR「單一窗口機制」（one-stop-shop mechanism），本案由荷蘭AP擔任主要監管機關進行調查，裁罰決定亦與其他歐洲資料保護機關進行協調。調查發現，Uber利用軟體監控駕駛行為及顧客評分，當系統認為駕駛可能涉及詐欺，例如為提高車資而刻意繞路，或接受行程後實際並無完成行程的意圖時，可能自動暫時停用駕駛帳號；對於顧客評分持續過低的駕駛，系統甚至可能自動永久停用帳號。帳號遭停用期間，駕駛即無法透過Uber平台接單及取得收入。AP認為，這類對駕駛生計具有重大影響的決定，在欠缺實質人工介入的情況下完全由系統作成，且Uber亦未充分向駕駛說明其使用自動化決策的情形，因此違反GDPR。Uber目前已停止AP所認定的違規行為，但對裁罰結果及金額表示不服，並已提起救濟。
2. 違規行為
(1) 以完全自動化方式決定停用駕駛帳號
Uber利用自動化系統分析駕駛的行車行為、行程資料及顧客評分等資訊，並依分析結果決定是否限制駕駛使用Uber平台。例如系統判斷駕駛有不必要繞路以提高車資、接受行程卻無意完成等疑似詐欺行為時，可以自動暫時停用帳號；AP並認定，在顧客評分持續偏低的情況下，Uber亦曾透過系統自動永久停用駕駛帳號。
由於帳號一旦遭停用，駕駛即無法透過Uber接單並取得收入，這類決定對駕駛具有重大經濟影響。AP認為，相關決定並非僅由演算法提供建議後再交由人員判斷，而是欠缺具有實質意義的人工審查或介入，即直接由自動化系統作成決定，因此違反GDPR第22條關於完全自動化個人決策的限制。
(2) 未充分告知駕駛自動化決策的使用情形
除自動停權本身外，AP亦認定Uber未充分向駕駛說明其正在使用自動化決策機制。也就是說，駕駛可能在帳號遭暫停或永久停用後，仍無法充分理解該決定是否由自動化系統作成，以及其個人資料如何被用來影響該項決定。AP因此另外認定Uber侵害駕駛受告知的權利（right to be informed）
3. 裁罰理由
(1) 停用帳號對駕駛具有重大影響，屬GDPR第22條規範的自動化決策。
GDPR第22條原則上保障資料當事人有權不受「完全基於自動化處理」且對其產生法律效果或類似重大影響的決定拘束。AP認為，對Uber駕駛而言，平台帳號是其取得工作與收入的重要管道，一旦帳號遭到停用，駕駛可能立即失去透過Uber取得收入的機會，因此顯然屬於對當事人具有重大影響的決策。AP副主席Monique Verdier特別指出，駕駛可能突然之間就無法再透過Uber取得任何收入，如此重大的決定不應完全交由電腦自行作成，而應先由人員實際審查。
(2) 須有實質人工介入
本案關鍵並非Uber是否在整個流程中配置任何人員，而是作成停權決定時是否存在真正、具有實質意義的人工判斷。AP認定相關帳號停用決定實際上由系統自動作成，欠缺人員就個案情況重新評估、檢查系統是否判斷錯誤並決定是否推翻自動化結果的機制，因此不能僅以形式上的人員參與即認為已符合GDPR要求。
(3) 自動化決策亦須符合透明原則，使當事人能理解並行使權利
AP認為，資料當事人至少應知道自己正受到自動化決策的影響，才能理解為何帳號遭停用、判斷資料處理是否正確，並進一步行使異議或其他GDPR權利。Uber未充分揭露其自動化決策機制，因此除了違反完全自動化決策的限制外，亦違反對駕駛的資訊告知義務。
(4) 違規直接涉及駕駛生計，AP認為情節重大
AP特別重視帳號停用對駕駛造成的實際後果：駕駛遭停權後，不只是無法使用某項一般網路服務，而是可能直接失去透過Uber工作的機會與收入來源。因此，AP將本案視為嚴重侵害資料當事人權利的情形。裁罰金額依歐洲相關罰鍰計算規範及Uber的企業規模加以衡量；GDPR對此類重大違規的最高罰鍰可達企業全球年度營業額的4%，而Uber於2025年的全球營收約為445億歐元。本案8億2,499萬歐元的罰鍰亦成為目前GDPR施行以來金額最高的裁罰之一
