Uber multata di 825 milioni dal Garante olandese: algoritmi che sospendono gli autisti senza garanzie

Uber multata di 825 milioni: quando gli algoritmi decidono chi può lavorare

Il 17 agosto 2026 il Garante della privacy olandese ha emesso una sanzione da 825 milioni di euro nei confronti di Uber, colpendo nel vivo il modello di business delle piattaforme digitali: la questione al centro della decisione riguarda proprio gli algoritmi per le decisioni automatiche di sospensione degli account dei conducenti, applicati senza che agli autisti venissero fornite informazioni adeguate né garantite tutele procedurali. È la seconda multa più alta mai comminata in Europa in base al Regolamento generale sulla protezione dei dati (GDPR), superata soltanto dalla sanzione da 1,2 miliardi di euro inflitta a Meta dall’autorità irlandese nel 2023. L’annuncio, reso pubblico tra il 21 e il 22 agosto 2026, ha immediatamente riacceso il dibattito europeo su trasparenza algoritmica, diritti dei lavoratori digitali e limiti del potere delle piattaforme tecnologiche.

La decisione dell’Autoriteit Persoonsgegevens: cosa è successo esattamente

L’Autoriteit Persoonsgegevens, il Garante della privacy dei Paesi Bassi, ha accertato che Uber disattivava automaticamente i profili dei propri autisti tramite sistemi algoritmici, senza fornire ai conducenti informazioni sufficienti su come e perché tale decisione venisse adottata. In altre parole, un driver poteva ritrovarsi improvvisamente impossibilitato a lavorare — e dunque a guadagnare — senza ricevere una spiegazione chiara, senza conoscere i criteri che avevano innescato la sospensione e senza disporre di strumenti efficaci per contestare la decisione.

Questo meccanismo è stato giudicato in contrasto con l’articolo 22 del GDPR, che vieta le decisioni basate esclusivamente su trattamenti automatizzati quando queste producono effetti significativi sugli individui. Il termine “significativi” non è una formula retorica: perdere l’accesso alla propria fonte di reddito principale — come accade a molti autisti Uber — è un effetto concreto, immediato e potenzialmente devastante sulla vita di una persona. Il GDPR riconosce esattamente questo tipo di impatto e impone che, in simili circostanze, l’essere umano non possa essere escluso dal processo decisionale senza adeguate garanzie.

La violazione contestata si articola dunque su due livelli distinti ma interconnessi: da un lato la mancanza di trasparenza informativa verso i conducenti, dall’altro la struttura stessa del sistema, che affidava agli algoritmi le decisioni automatiche di sospensione senza prevedere un intervento umano significativo e senza meccanismi di ricorso chiari e accessibili.

825 milioni di euro: una cifra record che non è casuale

L’entità della sanzione — 825 milioni di euro — non è un numero estratto arbitrariamente. Il GDPR prevede che le multe possano raggiungere fino al 4% del fatturato globale annuo dell’azienda sanzionata, oppure 20 milioni di euro, a seconda di quale dei due importi sia più elevato. Nel caso di Uber, azienda con ricavi globali di decine di miliardi di dollari, il 4% del fatturato produce una cifra dell’ordine di grandezza che il Garante olandese ha evidentemente ritenuto proporzionata alla gravità e alla sistematicità della violazione.

Collocare questa multa nella storia del GDPR aiuta a comprenderne il peso. Da quando il regolamento è entrato in piena applicazione nel maggio 2018, le autorità europee hanno comminato migliaia di sanzioni, ma solo pochissime hanno raggiunto la soglia delle centinaia di milioni. La multa da 1,2 miliardi inflitta a Meta dall’autorità irlandese nel 2023 resta il primato assoluto, relativa al trasferimento illecito di dati personali di utenti europei verso gli Stati Uniti. Quella di Uber si colloca immediatamente al secondo posto, e riguarda una fattispecie diversa ma ugualmente rilevante: non il trasferimento dei dati, bensì il modo in cui i dati vengono usati per prendere decisioni che incidono profondamente sulla vita delle persone.

Questo distinguo è importante. Significa che l’Europa sta costruendo una giurisprudenza regolatoria che non si limita a tutelare la riservatezza in senso stretto, ma si estende a proteggere le persone dagli effetti concreti dell’automazione decisionale. Un segnale che le piattaforme digitali farebbero bene a non sottovalutare.

Il nodo dell’articolo 22 del GDPR: cosa dice davvero la norma

L’articolo 22 del GDPR è una delle disposizioni più dibattute e, paradossalmente, meno conosciute del regolamento. Stabilisce che ogni individuo ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato — inclusa la profilazione — che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.

La norma prevede alcune eccezioni: la decisione automatizzata è ammessa se necessaria per la conclusione o l’esecuzione di un contratto, se autorizzata dal diritto dell’Unione o dello Stato membro, oppure se basata sul consenso esplicito dell’interessato. Ma anche in questi casi, il titolare del trattamento è comunque obbligato ad adottare misure adeguate a tutelare i diritti dell’interessato, a consentire l’intervento umano, a permettere all’interessato di esprimere la propria opinione e a contestare la decisione.

👉 Leggi anche: Chat Control Ue: il regolamento che promette di fermare gli abusi su minori ma spaventa gli esperti di privacy

Nel caso Uber, il Garante olandese ha ritenuto che queste condizioni non fossero soddisfatte. Gli algoritmi per le decisioni automatiche di sospensione degli autisti operavano in modo opaco, senza che i conducenti potessero comprendere le ragioni della disattivazione del loro account né esercitare in modo effettivo il diritto di contestazione. È una violazione che tocca non solo la lettera della norma, ma il suo spirito più profondo: l’idea che la tecnologia debba servire le persone, non renderle impotenti di fronte a meccanismi che non capiscono e non possono sfidare.

Per approfondire il quadro normativo europeo sulle decisioni automatizzate, il testo integrale del Regolamento (UE) 2016/679 (GDPR) è disponibile sul portale EUR-Lex, la banca dati ufficiale del diritto dell’Unione europea.

Uber risponde: la sanzione è sproporzionata, arriverà il ricorso

Uber non ha accettato passivamente la decisione. L’azienda ha dichiarato che la sanzione è sproporzionata e ha annunciato l’intenzione di presentare ricorso. È una mossa prevedibile, considerata l’entità della cifra in gioco, ma che non deve far perdere di vista la sostanza del confronto che si apre.

Un ricorso contro una decisione del Garante olandese si svolge davanti ai tribunali amministrativi dei Paesi Bassi, con la possibilità di arrivare fino alla Corte di giustizia dell’Unione europea per le questioni di interpretazione del diritto comunitario. I tempi possono essere lunghi — anni, in alcuni casi — e l’esito è incerto. Ma il percorso giudiziario che si aprirà sarà di grande interesse non solo per Uber, ma per l’intero settore delle piattaforme digitali, perché contribuirà a definire con maggiore precisione i confini di ciò che è lecito fare con i sistemi di decisione automatizzata nel contesto dei rapporti di lavoro.

È utile ricordare che anche la multa a Meta è stata oggetto di contestazioni e ricorsi. Il panorama delle sanzioni GDPR di grande entità tende a generare battaglie legali prolungate, il che non significa che le autorità abbiano torto, ma che la definizione pratica dei limiti normativi si costruisce nel tempo, attraverso il confronto tra regolatori, aziende e corti.

La gig economy sotto esame: i lavoratori delle piattaforme e i loro diritti

Il caso Uber non riguarda soltanto la privacy in senso tecnico. Riguarda, in modo molto diretto, i diritti dei lavoratori della cosiddetta gig economy — quell’economia dei lavoretti e delle prestazioni a chiamata che negli ultimi quindici anni ha trasformato radicalmente il mercato del lavoro in tutto il mondo occidentale.

Gli autisti Uber sono inquadrati, nella maggior parte dei paesi europei, come lavoratori autonomi o con forme contrattuali ibride. Questo significa che non godono delle stesse tutele previste per i dipendenti tradizionali: non hanno diritto alla cassa integrazione, non hanno un preavviso di licenziamento, non dispongono di rappresentanza sindacale strutturata. In questo contesto, la possibilità di essere sospesi dalla piattaforma — e quindi di perdere l’accesso al proprio lavoro — attraverso una decisione algoritmica opaca e incontestabile rappresenta una vulnerabilità enorme.

L’Europa si è mossa su più fronti per affrontare questa vulnerabilità. La direttiva sui lavoratori delle piattaforme, su cui il Parlamento europeo e il Consiglio hanno lavorato a lungo, affronta proprio queste questioni, stabilendo presunzioni di subordinazione e obblighi di trasparenza. La decisione del Garante olandese si inserisce in questo contesto più ampio, rafforzando l’idea che le tutele del GDPR siano pienamente applicabili anche nei rapporti tra piattaforme e lavoratori, non solo tra aziende e consumatori.

Per chi volesse seguire l’evoluzione del quadro normativo europeo sui lavoratori delle piattaforme, il Parlamento europeo mantiene una pagina dedicata con aggiornamenti sulle normative in materia.

👉 Leggi anche: Corte europea condanna l'Italia per sessismo: il caso di Audrey Ubeda e la cultura stereotipata della magistratura

Un precedente europeo: cosa cambia per le altre piattaforme

La portata di questa sanzione va ben oltre Uber. Ogni piattaforma digitale che utilizzi sistemi algoritmici per prendere decisioni rilevanti sui propri utenti — che siano lavoratori, venditori, creatori di contenuti o consumatori — deve oggi guardare a questo caso con attenzione.

I modelli di business fondati sull’automazione decisionale sono diffusissimi: i marketplace che sospendono i venditori per anomalie nei punteggi di valutazione, le piattaforme di delivery che escludono i fattorini in base a metriche di performance, i social network che rimuovono account sulla base di sistemi di rilevamento automatico delle violazioni. In tutti questi casi, se le decisioni producono effetti significativi sulle persone — e la perdita del reddito è certamente un effetto significativo — il GDPR impone trasparenza, possibilità di intervento umano e meccanismi di ricorso effettivi.

La sanzione olandese invia un segnale inequivocabile: il rispetto dell’articolo 22 del GDPR non è facoltativo, non è una questione di forma, e le autorità di controllo sono disposte a usare tutti gli strumenti a loro disposizione — comprese le sanzioni più severe — per farlo rispettare. Questo non significa che l’automazione sia vietata: significa che deve essere progettata e implementata con le garanzie che la legge richiede.

Trasparenza algoritmica: la vera posta in gioco

Al cuore di questa vicenda c’è un concetto che sta diventando sempre più centrale nel dibattito pubblico europeo: la trasparenza algoritmica. Sapere come funziona un algoritmo che prende decisioni su di noi non è un lusso tecnico riservato agli esperti — è un diritto fondamentale, riconosciuto dal GDPR e ribadito, con strumenti ancora più ampi, dal recente AI Act europeo.

La trasparenza algoritmica non richiede che ogni persona comprenda il codice sorgente di un sistema di intelligenza artificiale. Richiede che le persone sappiano che una decisione automatizzata è stata presa, quali fattori principali l’hanno determinata, e come possono contestarla se la ritengono ingiusta. Questi sono requisiti ragionevoli, tecnicamente realizzabili, e giuridicamente vincolanti in Europa.

Il fatto che Uber — una delle aziende tecnologiche più sofisticate e capitalizzate al mondo — non li abbia rispettati in modo adeguato è, in un certo senso, la notizia più preoccupante di tutta la vicenda. Non perché Uber sia necessariamente in malafede, ma perché dimostra quanto sia ancora diffusa, anche tra i grandi operatori, la tendenza a trattare i sistemi algoritmici come strumenti interni di gestione operativa, piuttosto che come meccanismi di potere che incidono sulla vita delle persone e che devono essere governati di conseguenza.

Cosa aspettarsi nei prossimi mesi

Con il ricorso annunciato da Uber, la vicenda entra ora in una fase giudiziaria che potrebbe durare anni. Nel frattempo, è ragionevole attendersi che altre autorità di protezione dei dati europee guardino con interesse a questa decisione e valutino se esistano situazioni analoghe nei rispettivi paesi. Il meccanismo di cooperazione previsto dal GDPR — che vede l’autorità del paese di stabilimento principale dell’azienda (nel caso di Uber, i Paesi Bassi) come autorità capofila — garantisce che le decisioni abbiano rilevanza a livello europeo.

È anche probabile che il caso acceleri la riflessione interna di molte piattaforme sui propri sistemi di gestione automatizzata degli account. La prospettiva di sanzioni nell’ordine delle centinaia di milioni di euro è un incentivo potente a rivedere le procedure, aumentare la trasparenza e introdurre meccanismi di revisione umana laddove le decisioni algoritmiche producono effetti significativi sulle persone.

La decisione del Garante olandese del 17 agosto 2026 segna dunque un momento di svolta nella regolazione europea delle piattaforme digitali: non solo perché la cifra è record, ma perché pone al centro del dibattito la questione degli algoritmi nelle decisioni automatiche di sospensione dei lavoratori, affermando con chiarezza che la tecnologia non può sostituire il diritto e che nessun sistema automatizzato, per quanto sofisticato, può privare una persona del suo reddito senza spiegazioni, senza garanzie e senza la possibilità di essere ascoltata. È un principio che sembra ovvio — e forse lo è — ma che evidentemente aveva bisogno di essere ribadito con una sanzione da 825 milioni di euro per essere preso sul serio.

Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.