La resolución en breve
La Autoriteit Persoonsgegevens (AP) neerlandesa multó a Uber con €824,990,000 el 17 de agosto de 2026 por infringir el artículo 22 del RGPD, y lo anunció públicamente el 21 de agosto. El sistema de Uber suspendió automáticamente y, en algunos casos, desactivó de forma permanente cuentas de conductores en Europa entre 2020 y 2022 a partir de señales de fraude y de valoraciones bajas de los clientes, sin revisión humana antes de que la decisión surtiera efecto y sin un mecanismo claro para impugnarla. La multa es la segunda mayor sanción del RGPD registrada, solo por detrás de los €1.2 mil millones impuestos a Meta en 2023 por transferencias transatlánticas de datos.
El caso se originó con 171 conductores franceses cuyas cuentas fueron suspendidas. Sus reclamaciones, presentadas a través de la organización de derechos humanos Ligue des droits de l’Homme ante la CNIL de Francia, se remitieron a la AP neerlandesa en virtud del mecanismo de ventanilla única del RGPD porque la sede europea de Uber está en Ámsterdam. Uber ha declarado que «discrepa firmemente» y que tiene previsto recurrir, y añade que sus políticas actuales incluyen revisión humana y canales de apelación. La resolución de la AP se refiere al sistema anterior, no al actual.
Para los equipos que desarrollan software que cumple el RGPD, la multa es un dato de referencia: así es la aplicación del artículo 22 a gran escala, y su alcance se extiende a cualquier empresa cuya plataforma afecte a residentes de la UE, con independencia de dónde esté constituida.
Qué hizo el algoritmo de Uber
La plataforma de Uber señalaba a los conductores por tres categorías de comportamiento sospechoso: tomar desvíos innecesarios que inflaban las tarifas, aceptar viajes y no completarlos, y acumular valoraciones bajas de los pasajeros. Cuando el perfil de un conductor superaba un umbral en cualquiera de estas señales, el sistema podía retirarle el acceso de forma temporal o, en los casos que más atención atrajeron, permanente. La decisión la tomaba, comunicaba y aplicaba el software. Ninguna persona la revisaba antes de que surtiera efecto.
Para los conductores afectados, la consecuencia no era una molestia menor. Perder el acceso a la plataforma suponía perder de inmediato los ingresos, a menudo sin una explicación clara de qué incidente concreto había provocado la desactivación ni de qué debían hacer para recuperar la cuenta. El regulador concluyó que era precisamente el tipo de «efecto significativo» frente al que se concibió el artículo 22: un sistema automatizado que emite una determinación con graves consecuencias reales para el sustento de una persona, sin que esta tenga una vía significativa para tratar con una persona antes o después.
Qué exige realmente el artículo 22
El artículo 22 del RGPD otorga a toda persona de la UE el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado cuando esa decisión produzca efectos jurídicos o «de modo similar significativos». Que una persona pierda el acceso a una plataforma de la que depende para obtener ingresos entra claramente en ese ámbito. La norma no es una prohibición general de la automatización; fija tres condiciones que deben cumplirse cuando se usan decisiones automatizadas con efectos significativos:
- Informar: comunique al interesado que se está tomando una decisión automatizada y explique en términos accesibles la lógica que interviene.
- Intervenir: ofrezca un mecanismo para que una persona revise la decisión antes de que surta efecto o poco después; no una casilla de verificación, sino una vía real de revisión.
- Impugnar: dé al interesado la posibilidad de cuestionar el resultado y de que se reconsidere.
El sistema de Uber, tal como operó entre 2020 y 2022, incumplió los tres requisitos en las desactivaciones permanentes. La AP también halló infracciones del derecho a ser informado sobre la naturaleza de la decisión: no se decía con claridad a los conductores que la decisión la había tomado un algoritmo y no una persona.
La conexión con el Reglamento de IA de la UE (AI Act) es directa. Las disposiciones del Reglamento sobre los sistemas de IA de alto riesgo, exigibles desde agosto de 2026, también exigen supervisión humana, transparencia e impugnabilidad en las decisiones impulsadas por IA en contextos de empleo y gestión del trabajo. Un sistema como el de Uber entraría de lleno en esa categoría de alto riesgo, lo que significa que los equipos afrontan ahora obligaciones de cumplimiento superpuestas de ambos marcos. Para las empresas que se mueven en esta intersección, incorporar el cumplimiento del Reglamento de IA de la UE junto con los requisitos del artículo 22 del RGPD desde la fase de diseño es mucho más barato que adaptarlos después del lanzamiento.
Un patrón de multas crecientes
No es la primera actuación de la AP neerlandesa contra Uber. El mismo regulador impuso una multa de €600,000 en 2018 por fallos de protección de datos en una brecha de conductores, otra de €10 millones a principios de 2024 y otra de €290 millones más tarde en 2024 por transferencias ilícitas de datos a servidores de EE. UU. (también recurrida). El patrón sugiere que, para una empresa que trata grandes volúmenes de datos personales de residentes de la UE, las infracciones repetidas sin cambios estructurales atraen respuestas cada vez más severas. La cifra de €825 millones, aproximadamente el 4% de los ingresos anuales globales declarados de Uber, está calibrada para ser un elemento disuasorio y no un coste de hacer negocios.
El caso ilustra también cómo la ventanilla única del RGPD puede agregar un problema transfronterizo en una única actuación sancionadora. Los 171 conductores que presentaron reclamaciones estaban en Francia; la multa la impuso la autoridad neerlandesa; la sanción afecta a Uber a escala global. Para las multinacionales o las plataformas con usuarios repartidos por los Estados miembros de la UE, este mecanismo significa que un patrón de reclamaciones en un país puede escalar a una actuación sancionadora paneuropea sin que la empresa pueda resolverlo jurisdicción por jurisdicción.
Qué significa para los equipos de software de EE. UU. y la UE
Tres señales para los equipos que construyen plataformas o herramientas internas que toman decisiones automatizadas sobre personas:
El alcance es extraterritorial. El RGPD se aplica allí donde se vea afectado algún residente de la UE, con independencia de dónde tenga su sede la empresa o dónde se ejecute el algoritmo. Una plataforma SaaS con sede en EE. UU. que use puntuaciones automatizadas para restringir el acceso, aprobar préstamos, fijar precios de seguros o gestionar contratistas en Europa entra en el ámbito. «Estamos constituidos en Delaware y nuestros servidores están en Virginia» no cambia nada ante un regulador europeo.
La arquitectura es la cuestión de cumplimiento. Las correcciones que Uber dijo haber introducido, mecanismos de revisión humana y apelación, son problemas de ingeniería. Construir esas vías en una plataforma después del lanzamiento es mucho más difícil y caro que diseñarlas desde el principio. Para cualquier producto que tome decisiones automatizadas con consecuencias significativas, los requisitos del artículo 22 (informar, intervenir, impugnar) tienen que estar en la arquitectura inicial, no añadirse a posteriori cuando escribe un regulador.
El ritmo de las sanciones se acelera. Entre la entrada en vigor del RGPD en 2018 y finales de 2023, el total de multas en Europa alcanzó aproximadamente €4 mil millones. La actuación individual de la AP neerlandesa contra Uber añade €825 millones. Los reguladores han dedicado siete años a construir capacidad sancionadora y precedentes; esas inversiones dan ahora sanciones mayores con más rapidez. Esperar a una reclamación antes de auditar sus sistemas de decisión automatizada ya no es una postura segura.
Una lista de comprobación práctica para sistemas de decisión automatizada
Estos pasos no constituyen asesoramiento jurídico, pero representan el trabajo de ingeniería y de procesos que exige el marco del artículo 22 y que los reguladores buscarán:
- Mapee sus decisiones. Haga una lista de todos los sistemas automatizados que producen un resultado que afecta al acceso, la puntuación, el precio, el estado o el empleo de un usuario. Etiquete cada uno por su relevancia: ¿cuáles tienen efectos que una persona razonable consideraría materiales para sus derechos o su sustento?
- Añada un paso humano antes de las consecuencias significativas. Para toda decisión de la categoría «material», exija una revisión humana antes de ejecutar la decisión o, como mínimo, inmediatamente accesible al impugnarla. Documente el proceso de revisión, quién lo realiza y cuánto tarda.
- Construya un flujo de impugnación. Un botón que diga «apelar» no basta. La persona afectada debe poder llegar a una persona, entender el fundamento de la decisión en un lenguaje accesible y recibir una reconsideración genuina, no un acuse de recibo automatizado.
- Informe en lenguaje claro. Su aviso de privacidad y cualquier comunicación del sistema deben indicar, en términos que un no especialista pueda entender, que se toman decisiones automatizadas, en qué se basan y qué derechos tiene la persona.
- Mantenga una pista de auditoría. Registre qué versión del modelo tomó qué decisión, con qué entradas, en qué momento y qué revisión humana (si la hubo) se aplicó. Es lo que necesitará si un regulador se lo pide.
- Revise en paralelo sus obligaciones del Reglamento de IA de la UE. Para las plataformas que operan en empleo, crédito, seguros u otros ámbitos de alto riesgo, los requisitos de alto riesgo del Reglamento se aplicarán junto con el artículo 22. Trátelos como una única superficie de cumplimiento, no como dos proyectos separados.
Preguntas frecuentes
¿Qué hizo Uber para provocar la multa de €825 millones del RGPD?
Uber usó un sistema totalmente automatizado para señalar y desactivar a conductores en toda Europa entre 2020 y 2022 a partir de señales como supuestos desvíos, cancelaciones de viajes y valoraciones bajas de los clientes. En algunos casos se retiró a los conductores de forma permanente sin ninguna oportunidad de revisión humana antes de que la decisión surtiera efecto. La autoridad neerlandesa de protección de datos (DPA) dictaminó que esto infringía el artículo 22 del RGPD, que otorga a las personas el derecho a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado que tengan efectos significativos sobre ellas sin una intervención humana significativa.
¿Qué es el artículo 22 del RGPD y cuándo se aplica?
El artículo 22 del RGPD abarca la toma de decisiones automatizada, incluida la elaboración de perfiles, que produzca efectos jurídicos o de modo similar significativos para una persona. Si su sistema toma una decisión sobre un individuo sin ninguna persona en el circuito y esa decisión afecta de forma significativa a sus derechos o circunstancias (empleo, crédito, acceso a una plataforma), se aplica el artículo 22. Se debe informar al interesado de que se está tomando una decisión automatizada, debe poder solicitar una revisión humana y debe poder impugnar el resultado.
¿Afecta esta resolución a las empresas de EE. UU. que atienden a usuarios de la UE?
Sí. El RGPD se aplica a los datos personales de las personas de la UE con independencia de dónde esté la empresa que los trate. Una plataforma estadounidense que toma decisiones automatizadas sobre usuarios de la UE o trabajadores radicados en la UE entra en su ámbito. El hecho de que el algoritmo de Uber se ejecutara desde infraestructura de EE. UU. no la protegió de la jurisdicción de la DPA neerlandesa.
¿Qué pasos prácticos reducen el riesgo del artículo 22 en el desarrollo de producto?
Cuatro pasos son los más importantes: mapear toda decisión automatizada que afecte al acceso, la puntuación o el estado de un usuario; añadir un paso genuino de revisión humana antes de las decisiones con consecuencias significativas; construir un flujo real de impugnación (no un acuse de recibo automatizado); e informar en lenguaje claro de cuándo se toman decisiones automatizadas y de qué derechos tiene la persona. Para las plataformas de gran volumen, es una decisión de arquitectura, no solo jurídica: pertenece al diseño inicial.
Fuentes
The Next Web — Uber fined €825 million for automated driver suspensions (en inglés) (agosto de 2026)
Reuters via US News — Exclusive: Dutch regulator fines Uber $966 million for automating driver suspensions (en inglés) (agosto de 2026)
NL Times — Dutch regulator fines Uber €825 million for letting algorithm deactivate drivers’ accounts (en inglés) (agosto de 2026)