Stel je voor dat je ‘s ochtends je app opent om te gaan rijden en er staat: account gedeactiveerd. Geen naam van een beoordelaar, geen telefoonnummer, geen uitleg die verder gaat dan een verwijzing naar “verdacht gedrag”. Voor een groep Uber-chauffeurs was dat de realiteit. De Autoriteit Persoonsgegevens (AP) legde het bedrijf daarvoor op 21 augustus een boete op van 825 miljoen euro (Bron: Autoriteit Persoonsgegevens).
Wat Uber deed
Tussen 2018 en 2022 schorste Uber chauffeurs die door zijn systemen van fraude werden verdacht — bijvoorbeeld omdat de software oordeelde dat ze onnodig omreden om meer te verdienen. Die deactivering ging via automatische systemen, en de chauffeurs werden er niet goed over geïnformeerd (Bron: NOS).
De zaak begon met klachten uit Frankrijk. Hij belandde in Nederland omdat het Europese hoofdkantoor van Uber in Amsterdam staat — de AP is daarmee de leidende toezichthouder voor heel Europa.
Uber gaat in beroep. “We zijn het fundamenteel oneens met dit besluit en vinden de hoogte van de boete disproportioneel”, laat het bedrijf weten. Uber zegt daarbij dat er tegenwoordig wél mensen bij dit soort beslissingen betrokken zijn, en dat chauffeurs bezwaar kunnen maken.
Let opDe boete staat nog niet vast. Beroepsprocedures rond privacyboetes duren jaren en bedragen worden geregeld naar beneden bijgesteld. Wat wél vaststaat is de norm die de AP hier toepast.
Waar het juridisch om draait
Niet om AI, strikt genomen. Om artikel 22 van de AVG, de bepaling die zegt dat je niet mag worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust en dat je in aanzienlijke mate treft.
De drie eisen die daaruit volgen zijn simpel te onthouden:
| Eis | Wat het betekent |
|---|---|
| Menselijke tussenkomst | Een bevoegd persoon beoordeelt de zaak en kan het systeem overrulen |
| Transparantie | De betrokkene weet dat er geautomatiseerd wordt besloten, en op welke gronden |
| Bezwaarrecht | De betrokkene kan het besluit aanvechten en zijn kant van het verhaal geven |
Het woord dat in de praktijk het meeste werk doet is betekenisvol. Een medewerker die een lijst met tweehonderd geflagde accounts afvinkt is geen menselijke tussenkomst; die is een doorgeefluik. Toezichthouders kijken naar de vraag of iemand daadwerkelijk anders had kunnen beslissen.
Beginner-tipDe AVG is de Europese privacywet die sinds 2018 geldt. Je hoeft geen jurist te zijn om artikel 22 te begrijpen: het zegt dat een computer niet in zijn eentje over je hoofd mag beslissen als het ergens over gaat. Meer termen staan in onsbegrippenoverzicht.
Waarom de hoogte opvalt
825 miljoen euro is de op een na hoogste boete ooit voor het overtreden van Europese privacy- en dataregels. Alleen Meta kreeg er een hogere: 1,2 miljard euro, opgelegd door de Ierse toezichthouder wegens het doorsturen van Europese Facebook-gegevens naar de Verenigde Staten.
Voor Uber is het bovendien niet de eerste. In augustus 2024 kreeg het bedrijf al 290 miljoen euro van dezelfde AP, toen wegens het doorgeven van chauffeursgegevens naar de VS. Eerder was er nog een boete van 10 miljoen euro. Er tekent zich een patroon af waarin Uber de AP tegenkomt op precies de plek waar het zijn platform bestuurt: de data over chauffeurs.
Houdt de boete stand, dan gaat het geld naar de Nederlandse schatkist. Dat is ongeveer 45 euro per inwoner — een eenmalige meevaller waar geen enkele begroting op durft te rekenen.
Wat dit betekent voor jou
De meeste lezers rijden geen Uber. Maar de logica van “het systeem heeft besloten” duikt op steeds meer plekken op waar het over je geld of je werk gaat. Een verzekeraar die je claim automatisch afwijst. Een bank die een transactie blokkeert. Een platform dat je verkopersaccount sluit vlak voor de drukste maand. Een uitzendbureau waarvan de software je cv nooit aan een mens laat zien.
In al die gevallen geeft artikel 22 je drie dingen: het recht om te weten dat er geautomatiseerd is besloten, het recht op een mens die er echt naar kijkt, en het recht om bezwaar te maken. Die rechten activeer je door ze op te vragen. Vraag schriftelijk om de menselijke heroverweging en om de gronden van het besluit — dat is geen gunst, dat is een wettelijke verplichting van de tegenpartij.
GevorderdenDe scheidslijn zit niet bij “gebruikt het bedrijf AI”, maar bij “berust het besluit uitsluitend op geautomatiseerde verwerking”. Een organisatie die een risicoscore laat berekenen en die score vervolgens aan een beoordelaar geeft die zelfstandig beslist, valt buiten artikel 22. Precies daarom is de kwaliteit van die menselijke stap het echte strijdpunt in dit soort zaken, niet het model erachter.
De handhaving trekt aan. De AP coördineert samen met de RDI het Nederlandse toezicht op de EU AI Act, waarvan de verplichtingen de komende jaren gefaseerd binnenkomen bovenop de AVG. Voor organisaties betekent dat: twee regimes tegelijk. Voor jou als burger betekent het vooral dat het loont om te vragen wie er nu eigenlijk heeft besloten.