Casi 825 millones de euros. Esa es la cuantía de la reciente multa RGPD a Uber, impuesta hace tan solo unos días, el 21 de agosto de 2026, por parte de la Autoridad de Protección de Datos neerlandesa (Autoriteit Persoonsgegevens, AP), en estrecha cooperación con la CNIL, la autoridad de control francesa. Esta sanción histórica por infringir el Reglamento General de Protección de Datos es, además, la tercera sanción que recibe la compañía en el marco de la misma investigación, lo que confirma un patrón preocupante en la forma en que Uber gestiona los datos de sus conductores.
Cuando un algoritmo decide, sin que ningún humano lo revise, que una persona pueda verse perjudicada, o incluso llegar a perder, su forma de ganarse la vida, está más que claro que algo falla. Y cuando ese algoritmo pertenece a una de las plataformas más grandes del mundo, la factura puede ser astronómica. Así de contundente ha sido la última gran sanción en materia de protección de datos, y su protagonista es Uber.
¿Qué ha dado lugar a esta multa RGPD a Uber?
Todo arranca en 2020, cuando la asociación Ligue des droits de l’Homme presenta ante la CNIL una denuncia colectiva en representación de más de 170 conductores de la plataforma. La denuncia, ampliada en 2021, señalaba tres problemas centrales: falta de información a los interesados, transferencias internacionales de datos fuera de la Unión Europea y, el asunto que ahora nos ocupa, decisiones automatizadas que desconectaban temporal o permanentemente a los conductores de la aplicación.
Como Uber tiene su establecimiento principal en Europa en Países Bajos (a través de Uber B.V., con sede en Ámsterdam), es la autoridad neerlandesa quien pasa a asumir el liderazgo de la investigación, conforme al mecanismo de ventanilla única del RGPD, con la CNIL participando activamente en los controles y en la revisión del proyecto de resolución.
Entre 2018 y 2022, según ha determinado la AP, Uber permitió que sistemas automatizados (es decir, sistemas sin ninguna, o con muy poca supervisión humana) suspendieran o desactivaran cuentas de conductores (por ejemplo, ante sospechas de fraude o valoraciones demasiado bajas) sin que existiera una intervención humana real y significativa en esa decisión.
Por qué es ilegal decidir sin intervención humana: la base de la multa RGPD a Uber
El artículo 22 del RGPD no prohíbe de forma absoluta la automatización de decisiones. Permite que una decisión con efectos legales o similares se tome de forma automatizada en supuestos concretos: cuando es necesaria para ejecutar un contrato, cuando está autorizada por la ley o cuando se basa en el consentimiento explícito de la persona.
Pero esa excepción viene siempre acompañada de garantías que la empresa está obligada a ofrecer:
- Informar a la persona afectada sobre la lógica y las consecuencias del sistema automatizado.
- Permitirle expresar su punto de vista.
- Facilitar que pueda impugnar la decisión.
- Garantizar una revisión humana real y efectiva.
Según la resolución de la AP, Uber no cumplía con estas garantías. No es la automatización en sí lo que se sanciona, sino la ausencia de una intervención humana significativa y el déficit de información a los conductores afectados. Uber ya ha anunciado que recurrirá la decisión.
Un historial que no juega a favor de Uber
Esta multa RGPD a Uber no llega sola. Se suma a dos sanciones anteriores derivadas de la misma denuncia:
- 10 millones de euros, impuestos el 11 de diciembre de 2023, por falta de información a los conductores.
- 290 millones de euros, impuestos el 22 de julio de 2024, por transferencias de datos fuera de la Unión Europea.
Con esta tercera resolución, Uber acumula más de 1.100 millones de euros en sanciones derivadas de un mismo procedimiento. Un historial que ilustra hasta qué punto las autoridades de control europeas están dispuestas a perseguir de forma sostenida las malas prácticas cuando afectan a colectivos numerosos y a derechos fundamentales como la protección de datos.
Qué debe aprender tu empresa de esta histórica multa
Aunque puedas pensar que tu empresa no tiene un volumen de negocio tan alto como el de Uber, o no llega a tratar tantísimas cantidades de datos, el fondo del problema es perfectamente trasladable a cualquier empresa (incluso a una pequeña) que utilice sistemas automatizados para tomar decisiones sobre personas: procesos de selección con IA, scoring crediticio, sistemas de valoración de clientes o empleados, motores de recomendación con efectos relevantes, etc.
Antes de automatizar una decisión con efectos legales o significativos, es absolutamente necesario preguntarse:
- ¿Encaja realmente en alguna de las excepciones del artículo 22 RGPD?
- ¿Está informada la persona afectada de forma clara y comprensible?
- ¿Existe un canal real para impugnar la decisión?
- ¿Quién revisa esa impugnación, y con qué margen de decisión efectivo?
Si no sabes responder a alguna de estas preguntas, o no consigues dar una contestación sólida, te enfrentas a un riesgo reputacional, además de, como en el caso de la multa RGPD a Uber, a sanciones de una magnitud capaz de poner en jaque cualquier cuenta de resultados.
Así que, si necesitas ayuda para valorar si algo de esto te afecta o cómo podrías abordarlo, te recordamos que en Dataseg contamos con expertos en Derecho TIC, protección de datos y cumplimiento normativo: cuéntanos qué te preocupa y buscaremos una solución a medida.
Si prefieres ampliar información, aquí tienes el comunicado oficial de la CNIL sobre la multa RGPD a Uber.