Uber multada con 825 millones de euros por decisiones automatizadas

La gestión algorítmica de la fuerza laboral ha alcanzado un punto de inflexión regulatorio en Europa. La Autoriteit Persoonsgegevens (AP), la autoridad de protección de datos de los Países Bajos, ha impuesto una sanción administrativa de 824.990.000 euros a Uber. El motivo central es la implementación de un sistema de toma de decisiones totalmente automatizadas que afectaba directamente al sustento económico de miles de conductores.

El mecanismo de desactivación sin supervisión humana

Entre los años 2018 y 2022, Uber utilizó un software diseñado para monitorizar el comportamiento de conducción y procesar las valoraciones dejadas por los clientes. Cuando el sistema detectaba una sospecha de fraude o cuando las puntuaciones de un conductor descendían por debajo de un umbral determinado, la plataforma procedía a la desactivación de la cuenta. Dependiendo de la gravedad o la persistencia de las bajas valoraciones, el bloqueo podía ser temporal o permanente.

La gravedad del caso reside en que este proceso carecía por completo de una evaluación humana previa o posterior. Los conductores se encontraban con sus cuentas bloqueadas de forma instantánea, perdiendo su única fuente de ingresos sin posibilidad de defensa inmediata o revisión por parte de un empleado de la compañía. Monique Verdier, vicepresidenta de la AP, ha sido tajante al señalar que un ordenador no puede tomar decisiones autónomas que tengan consecuencias tan profundas en la vida de una persona.

La ruta legal desde Francia hasta Ámsterdam

Aunque la sanción ha sido ejecutada por la autoridad neerlandesa, el origen del conflicto se encuentra en Francia. La Ligue des droits de l’Homme (LDH), una organización de derechos humanos, presentó una denuncia colectiva en nombre de 171 conductores franceses ante la Commission Nationale de l'Informatique et des Libertés (CNIL). Esta acción legal puso el foco no solo en las desactivaciones, sino también en la falta de información sobre el perfilado de los datos y las transferencias internacionales de información.

Debido a que la sede europea de Uber se encuentra en los Países Bajos, el caso se gestionó bajo el mecanismo de ventanilla única (One-Stop-Shop) del Reglamento General de Protección de Datos (RGPD). Este procedimiento permite que una sola autoridad lidere la investigación coordinando los esfuerzos con los reguladores de otros Estados miembros afectados. En este sentido, la CNIL colaboró estrechamente con la AP en el análisis de las pruebas y la revisión del borrador de la decisión final.

Vulneraciones directas al RGPD y el derecho a la información

La resolución de la AP se fundamenta en la violación de dos pilares críticos del marco normativo europeo. En primer lugar, el Artículo 22 del RGPD prohíbe, por regla general, que las personas estén sujetas a decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos o afecten significativamente al interesado.

En segundo lugar, la autoridad determinó que Uber no informó suficientemente a los conductores sobre la existencia de estos procesos de toma de decisiones automatizadas ni sobre la lógica aplicada en el perfilado. Esta opacidad impidió que los trabajadores pudieran comprender por qué estaban siendo sancionados o cómo evitar la desactivación de sus cuentas. Para conocer más detalles sobre la base legal de esta sanción, se puede consultar la notificación oficial del EDPB.

El historial de sanciones y la respuesta de Uber

Esta multa de casi 825 millones de euros no es un hecho aislado, sino que se suma a una serie de conflictos regulatorios que la compañía ha enfrentado en territorio europeo. Previamente, la CNIL ya había impuesto una sanción de 10 millones de euros en diciembre de 2023 por fallos en la información a los conductores, seguida de otra multa de 290 millones de euros en julio de 2024 relacionada con la transferencia de datos personales fuera de la Unión Europea.

La desactivación de cuentas por sospecha de fraude o bajas calificaciones constituye una decisión individual automatizada debido a la ausencia total de intervención humana en el proceso de decisión.

Desde la compañía, se ha informado que las prácticas que originaron la investigación han cesado. No obstante, Uber ha presentado un recurso contra la cuantía de la multa, por lo que el proceso aún no cuenta con una decisión judicial firme. Mientras tanto, la Autoriteit Persoonsgegevens mantiene que la sanción es proporcional a la gravedad de las infracciones cometidas entre 2018 y 2022.

Implicaciones para el ecosistema empresarial en España

Para los emprendedores y directivos en España, este caso trasciende la disputa entre Uber y sus conductores; es una advertencia directa sobre la gobernanza de la IA y los algoritmos de gestión. En un tejido empresarial donde la digitalización de los procesos de RR.HH. y la automatización de la atención al cliente están en auge, el riesgo de incurrir en decisiones automatizadas prohibidas es elevado.

La llegada del AI Act europeo refuerza esta tendencia. Las empresas españolas que utilicen sistemas de IA para evaluar el rendimiento de sus empleados o para tomar decisiones sobre contrataciones y despidos deberán implementar mecanismos de supervisión humana obligatorios. No basta con que el algoritmo sea eficiente; debe ser explicable y revisable. Cualquier sistema que determine el acceso a un medio de vida o a un servicio esencial sin que un humano valide la decisión final se expone a sanciones millonarias similares a la de Uber.

En el contexto de la agenda digital española, este precedente obliga a las startups y empresas tecnológicas a rediseñar sus flujos de trabajo. La transparencia ya no es una opción ética, sino un requisito legal. Las organizaciones deben auditar sus algoritmos para asegurar que no existan procesos de bloqueo o penalización automática que vulneren los derechos fundamentales de los usuarios o trabajadores, integrando la privacidad y la supervisión humana desde la fase de diseño (Privacy by Design).

Preguntas frecuentes

Fuentes: Edpb, Autoriteitpersoonsgegevens, Cnil ·