人の目なしで解雇したウーバーにGDPR史上2位の制裁金

完全自動で止まったアカウントに8億2,500万ユーロ

オランダ個人情報保護庁(Autoriteit Persoonsgegevens、AP)が8月17日付で下した決定が、8月21日に報道を通じて初めて明らかになった。ウーバーに科された制裁金は8億2,500万ユーロ、ドル換算でおよそ9億6,600万ドルにのぼる。APは、ウーバーが運転手のアカウントを停止・解除する過程でGDPR第22条が禁じる「完全に自動化された決定」を下し、その決定について運転手に十分な説明もしていなかったと判断した。問題とされた期間は2020年から2022年まで。この金額は2023年にメタへ科された12億ユーロに次いで、GDPR史上2番目の規模になる。

発端はフランスの運転手の申立てだった

この案件はもともとフランスで出された申立てから始まった。ウーバーの欧州本社がオランダにあるため、GDPRの「ワンストップショップ」規定によって審査権限がオランダのAPに移った。APは、評価点数の低い運転手のアカウントが人の再確認なしにコンピューターだけで永久停止されたケースがあったと見ている。ウーバーはこの結論に正面から反論する。永久停止を自動処理したことは一度もないとしたうえで、2021年の1年間で低評価を理由に停止された運転手は欧州全体で126人だけだったと主張した。会社は「この決定に強く同意しない」として控訴する方針を示し、現在は人による再確認と異議申立ての手続きを併せて運用していると説明している。規模をめぐるこの反論自体が、争点の本質を示している。何人が影響を受けたかではなく、その決定の前に人がいたかどうかが問われているということだ。

日本にも同じ論点を扱う法律がすでにある

これはヨーロッパだけの話として片付けにくい。日本では2024年11月に施行されたフリーランス新法(特定受託事業者に係る取引の適正化等に関する法律)が、配達員を含む幅広いフリーランスを対象に、契約の中途解除にあたって事前予告と理由の開示を発注事業者に義務づけている。GDPR第22条のように「自動化された決定」そのものを規制するわけではないが、アカウント停止に等しい扱いを受ける側に理由を知る権利があるという発想は同じ方向を向いている。一方で日本のAI事業者ガイドラインは法的拘束力のないソフトローにとどまり、自動意思決定を直接縛る規定は今のところ整っていない。ヨーロッパは制裁金で、日本は契約法の説明義務で、それぞれ違う入り口からこの問題に近づいている。

停止・解除ボタンの向こうに人がいるか、今確認する番

マッチング・評価・ペナルティのアルゴリズムでパートナーやフリーランスのアカウントを管理するサービスなら、今のうちに三つ点検しておく価値がある。まず、アカウント停止や契約解除に相当する処理が、人の再確認なしにシステム単独で実行される経路がコードレベルで残っていないかを洗い出す。次に、停止された側が異議を申し立てる経路と、その処理記録が実際に残る仕組みになっているかを見る。APが問題視したのも決定そのものではなく、その決定について説明を受ける権利が守られていなかった点だった。最後に、アルゴリズムの判断ロジックを後から規制当局や裁判所に説明できる形でログに残しているかを確認する。フリーランス新法の理由開示義務は、このログがそのまま説明資料になる仕組みだ。制裁金の額より怖いのはタイミングで、規制が後から追いついても違反期間は遡って計算されるということを、今回の決定が示している。