Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-making and insufficient information on profiling
Background information Cross-border case Controller: Uber B.V Legal Reference(s): Article 22 (Automated individual decision making, including profiling) and Article 13 (Information to be provided where personal data are collected from the data subject) Decision: Administrative fine Key words: Autom…
- Data do item
- 2026-10-08
- Órgão responsável
- EDPB
- Tipo de ato
- Enforcement / sanção
- Estágio
- A classificar
- Prioridade
- Urgente — agir em dias
- Impacto
- Crítico
- Confiança da análise
- 0.80 — Interpretação fortemente suportada pela fonte oficial
- Território
- União Europeia
O que mudou (registro da fonte oficial)
Background information Cross-border case Controller: Uber B.V Legal Reference(s): Article 22 (Automated individual decision making, including profiling) and Article 13 (Information to be provided where personal data are collected from the data subject) Decision: Administrative fine Key words: Automated decision making, profiling and online tracking, fines Summary of the Decision The Autoriteit Persoonsgegevens (AP), the Dutch data protection authority, imposes a fine of EUR 824 990 000 on Uber. The reason for this is that the AP has ruled that Uber made fully automated decisions about drivers.
Órgão: EDPB · Data do item na fonte oficial: 2026-10-08
Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-m ↗
Texto e data preservados do item do dataset; nenhum fato foi acrescentado.
Por que isso importa
Leitura: o item é classificado como EDPB e proteção de dados em IA, Enforcement e sanções, o que normalmente desloca obrigações de documentação, transparência ou controlo interno para as equipas responsáveis.
Possíveis obrigações
- Verificação preventiva dos controlos equivalente aos que falharam na decisão publicada. — base: Fonte menciona: enforcement e sanções · confiança 0.80
- Registo do risco e do plano de correção no sistema de compliance. — base: Fonte menciona: enforcement e sanções · confiança 0.80
- Revisão contratual com fornecedores quando a decisão envolve terceiros. — base: Fonte menciona: enforcement e sanções · confiança 0.80
- Base legal documentada para tratamento de dados pessoais em sistemas de IA. — base: Fonte menciona: enforcement e sanções · confiança 0.80
- Avaliação de impacto sobre a proteção de dados (DPIA) quando exigida. — base: Fonte menciona: enforcement e sanções · confiança 0.80
- Informação transparente sobre decisões automatizadas e revisão humana efetiva. — base: Fonte menciona: enforcement e sanções · confiança 0.80
Riscos
- Repetir o padrão sancionado na sua própria operação.
- Multas de percentagem do volume de negócios global em casos de maior gravidade.
- Medidas corretivas que obrigam a alterar produto já em produção.
- Perda de confiança de clientes e de investidores após incidente público.
- Treino ou fine-tuning sem base legal documentada.
- Uso de web scraping e conteúdo pessoal sem avaliação registada.
Oportunidades
- Utilizar as decisões publicadas como teste-padrão interno antes de uma auditoria.
- Demonstrar diligência documentada a clientes regulados e seguradoras.
- Redução de risco antes de escalar o produto para novos mercados.
- Uso de orientações do EDPB como argumento de confiança em vendas a clientes regulados.
- Contribuir para o desenho das regras através de consultas e códigos de prática.
Quem pode ser afetado
Exposição provável em: Fintech, AdTech, Cloud, E-commerce. Potencialmente afetada. A aplicabilidade depende das atividades exercidas e requer avaliação jurídica específica.
Setores
- Fintech — Termo do item oficial relacionado ao setor. (base explícita)
- AdTech — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
- Cloud — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
- E-commerce — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
- Marketplaces — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
- Provedores de IA — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
- SaaS — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
- Saúde — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
Tipos de empresa: Plataforma digital / marketplace, Grande empresa, PME (pequena e média empresa), Provedor de cloud, infraestrutura ou capacidade computacional, Operador (deployer) de sistema de IA, Serviços profissionais (jurídico, consultoria, auditoria), Provedor de sistema de IA, Startup / empresa em formação
Áreas internas: Data Protection Officer, Privacy, Compliance, Jurídico, Data Governance, Risk, Cybersecurity, Product
Classificação por palavras-chave e tema. Não estabelece que qualquer organização específica esteja juridicamente enquadrada no ato.
O que fazer
- Atualizar a matriz de risco com o padrão sancionado nesta decisão. — responsável sugerido: Compliance · prioridade Alta
- Testar o controlo correspondente no seu próprio processo e registar o resultado. — responsável sugerido: Compliance · prioridade Alta
- Levar o caso concreto à reunião de compliance com responsável nomeado. — responsável sugerido: Compliance · prioridade Alta
- Mapear as bases legais de cada caso de uso de IA que trata dados pessoais. — responsável sugerido: Data Protection Officer · prioridade Alta
- Atualizar a DPIA para os casos de uso afetados pela orientação mais recente. — responsável sugerido: Data Protection Officer · prioridade Alta
- Formar produto e marketing sobre limites de uso de dados pessoais. — responsável sugerido: Data Protection Officer · prioridade Alta
SLA sugerido: agir em dias · Áreas responsáveis: dpo, privacy, compliance, legal, data-governance, risk, cybersecurity, product
O que isso significa na prática?
Consequência empresarial
Na prática, isto altera expectativas sobre como a organização documenta, avalia e supervisiona o uso de IA em Fintech, AdTech, Cloud.
Áreas internas envolvidas
Data Protection Officer, Privacy, Compliance, Jurídico, Data Governance, Risk, Cybersecurity, Product
Possíveis custos
Custo de adequação não quantificado pelo monitor: depende do número de sistemas afetados, da obrigação aplicável e do desenho do controlo.
Necessidade de adequação
Provável necessidade de adequação em documentação, contratos ou controlos internos quando a obrigação se confirmar aplicável.
Risco de não agir
Repetir o padrão sancionado na sua própria operação.
Próximo passo
Atualizar a matriz de risco com o padrão sancionado nesta decisão.
Evidência utilizada
- Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-making and insufficient information on profiling ↗ — fonte primária
Potencialmente afetada. A aplicabilidade depende das atividades exercidas e requer avaliação jurídica específica.