Uma das maiores multas da história do GDPR
A autoridade holandesa de proteção de dados, a Autoriteit Persoonsgegevens (AP), aplicou à Uber uma multa de € 824.990.000, cerca de € 825 milhões. A decisão foi divulgada em 8 de outubro de 2026 pelo Comitê Europeu para a Proteção de Dados (EDPB).
O motivo: a empresa tomava decisões totalmente automatizadas sobre seus motoristas, sem intervenção humana, e não informava de forma suficiente como esse perfilamento funcionava. O caso é um recado direto a qualquer organização que usa algoritmos para decidir sobre pessoas, inclusive no Brasil.
O que aconteceu
Segundo a AP, quando havia suspeita de fraude ou avaliações de clientes consideradas baixas demais, o sistema da Uber desativava automaticamente a conta do motorista por um período. Nos casos de avaliações baixas persistentes, a desativação era definitiva.
Na prática, durante o bloqueio o motorista perdia a renda obtida pela plataforma. Tudo isso sem que uma pessoa analisasse o caso antes da decisão.
Como o caso chegou à autoridade holandesa
A investigação começou com reclamações de 171 motoristas franceses, apresentadas por meio da Liga dos Direitos Humanos (LDH) à autoridade francesa, a CNIL. Como a sede europeia da Uber fica na Holanda, o processo foi conduzido pela AP pelo mecanismo de balcão único do GDPR, aplicado a casos que envolvem mais de um país.
Os fatos analisados ocorreram entre 2018 e 2022.
O que a autoridade concluiu
A AP entendeu que a Uber violou duas regras centrais do Regulamento Geral sobre a Proteção de Dados (GDPR):
- Artigo 22: proibição de submeter pessoas a decisões baseadas exclusivamente em tratamento automatizado, incluindo perfilamento, que produzam efeitos jurídicos ou as afetem de modo significativo.
- Artigo 13: dever de informar o titular, no momento da coleta, sobre a existência de decisões automatizadas e a lógica envolvida.
De acordo com a autoridade, a Uber já interrompeu as práticas. A empresa recorreu da multa e ainda não há decisão judicial definitiva.
E no Brasil? O que diz a LGPD
A Lei Geral de Proteção de Dados (Lei 13.709/2018) trata do tema no artigo 20. O titular tem direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, como as que definem perfil profissional, de consumo, de crédito ou aspectos da personalidade.
A lei também exige que o controlador forneça, quando solicitado, informações claras e adequadas sobre os critérios e procedimentos usados na decisão, respeitados os segredos comercial e industrial. Se a empresa não prestar essas informações, a ANPD pode realizar auditoria para verificar aspectos discriminatórios no tratamento.
Há uma diferença importante: o GDPR parte de uma proibição, com exceções; a LGPD garante o direito de revisão e de transparência. Mesmo assim, o descumprimento pode gerar sanções da ANPD, incluindo multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de danos à reputação e ações judiciais.
O caso Uber mostra o tipo de situação que as autoridades estão observando: plataformas digitais, sistemas de RH que filtram candidatos, análise de crédito, prevenção a fraudes e ferramentas de inteligência artificial que avaliam pessoas.
Como sua empresa pode se preparar
- Mapeie as decisões automatizadas. Identifique onde sistemas aprovam, bloqueiam, classificam ou desligam pessoas sem análise humana.
- Avalie o impacto. Elabore o Relatório de Impacto à Proteção de Dados (RIPD) para tratamentos que possam afetar direitos de clientes, colaboradores ou parceiros.
- Garanta um canal de revisão. O titular precisa saber como contestar uma decisão e receber resposta em prazo razoável.
- Seja transparente. Explique na política de privacidade, em linguagem simples, quais critérios o sistema utiliza.
- Mantenha supervisão humana. Em decisões com efeito relevante, como bloqueio de conta, recusa de crédito ou desligamento, inclua uma etapa de análise por pessoa qualificada.
- Documente e treine. Registre as regras dos algoritmos e capacite as equipes de tecnologia, RH e atendimento.
Conte com o Instituto Bertol
O uso de algoritmos para decidir sobre pessoas exige governança, transparência e conformidade. O Instituto Bertol apoia empresas na adequação à LGPD, na estruturação de programas de compliance e governança de dados e na capacitação de equipes.
Fale com nossos especialistas e descubra como reduzir riscos antes que eles virem multa.
Fonte
Autor
Equipe Editorial · Instituto Bertol
Especialistas em compliance, governança, LGPD e gestão em saúde. Produzimos conteúdo técnico e aplicado para líderes dos setores empresarial, público e de saúde.