Países Bajos multa a Uber con 825 millones por suspender a conductores mediante algoritmos

No puedo darte una respuesta precisa y fiable sobre los pasos concretos que Uber debe seguir para recurrir la sanción impuesta por la Autoridad de Protección de Datos de Países Bajos (Autoriteit Persoonsgegevens), porque estoy especializado exclusivamente en el ámbito institucional y político español. La impugnación de una sanción administrativa en los Países Bajos depende del derecho administrativo neerlandés y de la normativa procesal propia de ese país, que no forma parte del ámbito que tengo autorizado a consultar ni a describir con detalle técnico.

En términos generales —y solo a un nivel muy abstracto, no específico de Países Bajos— las sanciones de una autoridad de protección de datos en la Unión Europea suelen poder recurrirse mediante una combinación de:

• Recurso administrativo o de reconsideración ante la propia autoridad de control, cuando la legislación nacional lo prevé. En algunos sistemas se trata de un recurso jerárquico o de reposición, en otros de un mecanismo interno de revisión.
• Recurso contencioso-administrativo ante los tribunales, una vez agotada (o en paralelo, según el país) la vía administrativa, normalmente ante un tribunal especializado en lo contencioso-administrativo o un tribunal de apelación competente en materia de derecho público.
• Posibles recursos ulteriores ante instancias superiores (tribunales de apelación o de casación), si la ley nacional lo permite y se cumplen los requisitos de admisión.

Sin embargo, los plazos exactos, la denominación técnica de cada recurso, el órgano competente y los requisitos formales (por ejemplo, si es obligatorio interponer primero un recurso de objeción interno o si se puede acudir directamente a los tribunales) son elementos que dependen estrictamente de la legislación neerlandesa. No sería responsable por mi parte “rellenar los huecos” a partir de otros ordenamientos o de conocimiento general, porque podría inducirte a error en un terreno donde los plazos y la forma son críticos.

Si necesitas una respuesta jurídicamente operativa sobre el caso concreto de Uber y la sanción de la Autoridad de Protección de Datos de Países Bajos, lo más prudente es:

• Consultar directamente la resolución sancionadora, que suele incluir un apartado específico sobre los medios de recurso, plazos y órganos competentes.
• Revisar la información oficial de la Autoriteit Persoonsgegevens en su web institucional, donde normalmente se explica cómo se pueden recurrir sus decisiones.
• Pedir asesoramiento a un abogado especializado en protección de datos o derecho administrativo neerlandés, que pueda adaptar los pasos concretos a la situación de Uber, a la fecha de la resolución y a cualquier reforma normativa reciente.

Lo que sí puedo hacer, y donde soy realmente útil, es ayudarte en cuestiones equivalentes pero en el contexto español, tanto a nivel estatal como, en muchos casos, autonómico. Por ejemplo, puedo:

• Explicarte con detalle cuáles son los recursos posibles contra sanciones de la Agencia Española de Protección de Datos (AEPD), con sus fases típicas, plazos orientativos y relación con la jurisdicción contencioso-administrativa.
• Analizar el contexto político y normativo en España en materia de protección de datos, economía de plataformas o economía digital, incluyendo iniciativas legislativas, debates parlamentarios y posición de los distintos partidos y actores.
• Ayudarte a entender qué normativa española y europea resulta relevante para empresas tecnológicas que operan aquí (RGPD, Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales, normas sectoriales, etc.).
• Preparar un resumen o “briefing” político-institucional centrado en España sobre plataformas como Uber (debates sobre regulación, fiscalidad, derechos laborales, licencias VTC, etc.).

Si te interesa una comparación, también puedo explicarte de forma general cómo se articula, en el caso español, la defensa de una empresa ante una sanción administrativa (por ejemplo, de la AEPD u otra autoridad reguladora), qué papel juegan los recursos administrativos, el posterior recurso contencioso-administrativo y cómo se encuadra todo ello en el sistema político e institucional español.

En resumen: no puedo detallar con rigor los pasos que Uber debe seguir específicamente en Países Bajos para recurrir esa sanción, pero sí puedo acompañarte en todo lo que tenga que ver con España: recursos ante autoridades españolas, análisis del marco regulatorio y de la posición de los actores políticos, o elaboración de notas e informes sobre estos temas.

La Autoridad de Protección de Datos de Países Bajos (Autoriteit Persoonsgegevens, AP) es la autoridad de control nacional encargada de aplicar el Reglamento General de Protección de Datos (RGPD) y la Directiva de protección de datos en el ámbito penal (Directiva 2016/680), así como la normativa nacional que las desarrolla. Sus competencias y funciones básicas vienen definidas principalmente en los artículos 51 a 59 del RGPD, que establecen un marco común para todas las autoridades europeas.

En primer lugar, el RGPD exige que la AP sea totalmente independiente en el desempeño de sus funciones. Esto significa que no puede recibir instrucciones externas ni del Gobierno neerlandés ni de otras entidades públicas o privadas, y que debe contar con recursos humanos, técnicos y financieros suficientes para cumplir su mandato. Esta independencia es clave para garantizar la imparcialidad en la supervisión y en las sanciones.

Una competencia central es la de supervisión y control del cumplimiento. La AP vela por que responsables y encargados del tratamiento (empresas, administraciones públicas, organizaciones sin ánimo de lucro, etc.) apliquen correctamente el RGPD: principios de licitud, minimización de datos, limitación de la finalidad, transparencia, seguridad, y respeto de los derechos de las personas. Para ello, puede analizar políticas internas, cláusulas de privacidad, contratos de encargo de tratamiento, medidas de seguridad y cualquier aspecto relevante de los tratamientos de datos personales.

Para ejercer este control, el RGPD le otorga amplios poderes de investigación. La AP puede solicitar toda la información que considere necesaria, acceder a los datos y a los sistemas de tratamiento, realizar inspecciones en las instalaciones —incluidos registros físicos y auditorías técnicas— y obtener copia de documentos y soportes. Estos poderes deben ejercerse respetando el derecho a la defensa y, cuando afecta a domicilios privados, los límites constitucionales correspondientes.

Como consecuencia de sus investigaciones, la autoridad dispone de importantes poderes correctivos. Entre ellos se incluyen: emitir advertencias o apercibimientos cuando detecta posibles infracciones; ordenar que se atiendan o rectifiquen solicitudes de ejercicio de derechos; imponer limitaciones temporales o definitivas al tratamiento, incluida la prohibición total de seguir tratando determinados datos; ordenar la rectificación, supresión o anonimización de datos; y, muy especialmente, imponer multas administrativas significativas. El RGPD fija umbrales máximos muy elevados (hasta el 4 % de la facturación global anual o 20 millones de euros, el que sea mayor), que la AP puede aplicar dentro del margen que permite el Derecho de la UE y la normativa neerlandesa.

Otra función clave es la de gestionar reclamaciones de las personas interesadas. Cualquier ciudadano que considere vulnerados sus derechos de protección de datos puede presentar una reclamación ante la Autoriteit Persoonsgegevens. La autoridad debe analizarla, investigar cuando proceda e informar al reclamante sobre el resultado, ya sea adoptando medidas directas frente a la entidad reclamada o archivando con motivación suficiente.

La AP también ejerce un papel relevante de orientación y asesoramiento. El RGPD le encarga promover la sensibilización y comprensión pública de los riesgos y garantías, incluyendo la elaboración de guías, recomendaciones y buenas prácticas para organizaciones y para la ciudadanía. Además, debe asesorar al Parlamento y al Gobierno neerlandés sobre proyectos normativos que afecten a la protección de datos y puede emitir dictámenes sobre códigos de conducta sectoriales y sobre mecanismos de certificación en materia de privacidad.

En el marco europeo, la autoridad neerlandesa participa plenamente en el mecanismo de coherencia y en el sistema de “ventanilla única” (one-stop-shop). Cuando una empresa tiene su establecimiento principal en Países Bajos pero trata datos de personas en varios Estados miembros, la Autoriteit Persoonsgegevens suele actuar como autoridad de control principal, coordinando la investigación y las decisiones con las demás autoridades afectadas. Para ello, coopera estrechamente con las otras autoridades de protección de datos y con el Comité Europeo de Protección de Datos (CEPD), compartiendo información, participando en decisiones conjuntas y aplicando directrices europeas comunes.

Finalmente, la legislación europea atribuye a la AP un rol en evaluaciones de impacto y consultas previas. Cuando un tratamiento entraña un alto riesgo para los derechos y libertades (por ejemplo, uso intensivo de datos sensibles o vigilancia sistemática a gran escala), las organizaciones deben realizar una Evaluación de Impacto en Protección de Datos (EIPD) y, en algunos casos, consultarla antes de iniciar el tratamiento. La autoridad puede exigir medidas adicionales, imponer salvaguardas u oponerse a ciertos tratamientos si considera que los riesgos no están adecuadamente mitigados.

Conjunto de todo lo anterior, la Autoriteit Persoonsgegevens se configura, conforme al RGPD, como el órgano encargado de garantizar que, en Países Bajos, el derecho fundamental a la protección de datos se respete efectivamente, combinando funciones de supervisión, sanción, asesoramiento, cooperación europea y educación pública.

El RGPD (Reglamento (UE) 2016/679) permite la toma de decisiones automatizadas sobre personas trabajadoras, pero sólo bajo condiciones estrictas. En el ámbito laboral, estas decisiones suelen afectar de forma relevante (por ejemplo, asignación de turnos, despidos, evaluaciones o incentivos), de modo que casi siempre encajan en el régimen especial del artículo 22 RGPD sobre decisiones basadas únicamente en tratamiento automatizado, incluida la elaboración de perfiles.

1. Prohibición general y excepciones del artículo 22 RGPD

El punto de partida del RGPD es una prohibición: una persona no debe ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos sobre ella, o le afecte significativamente de modo similar. En el entorno laboral esto puede abarcar:

• Selección automática de personal o cribas de currículums.
• Evaluaciones de rendimiento totalmente automatizadas.
• Asignación de tareas, objetivos, turnos o bonus sin intervención humana real.
• Decisiones disciplinarias o extinción del contrato derivadas de algoritmos.

Esta decisión automatizada sólo será lícita si concurre una de estas tres bases habilitantes:

• Necesidad para un contrato: la decisión es necesaria para la celebración o ejecución del contrato de trabajo (interpretación restrictiva).
• Autorización por el Derecho de la UE o de un Estado miembro: debe existir una norma que la permita y que establezca garantías específicas para los derechos e intereses de las personas trabajadoras.
• Consentimiento explícito de la persona trabajadora, con libertad real para aceptar o rechazar (en el entorno laboral esto es difícil de cumplir por el desequilibrio de poder).

2. Derechos específicos de la persona trabajadora

Incluso cuando se cumpla alguna de las bases anteriores, el RGPD exige garantizar al menos estas tres salvaguardias (art. 22.3):

• Derecho a obtener intervención humana: la empresa debe prever que una persona con capacidad de decisión revise el resultado del sistema automatizado cuando la persona trabajadora lo solicite.
• Derecho a expresar su punto de vista: la persona puede exponer su situación concreta, aportar información adicional y argumentar por qué la decisión es incorrecta o injusta.
• Derecho a impugnar la decisión: debe existir un cauce efectivo para que la persona trabajadora recurra la decisión (por ejemplo, recursos internos, canal con RR. HH., o vías administrativas y judiciales).

3. Transparencia e información previa

El RGPD obliga a informar de forma clara y comprensible (arts. 13, 14 y 15) sobre la existencia de decisiones automatizadas. La empresa debe comunicar al trabajador, como mínimo:

• Que se van a tomar (o se han tomado) decisiones basadas en tratamiento automatizado, incluida la elaboración de perfiles.
• Información significativa sobre la lógica aplicada: no es revelar el código fuente, pero sí explicar qué datos se usan, qué tipo de modelo o criterios se aplican y qué factores pesan más en el resultado.
• La importancia y las consecuencias previstas de ese tratamiento, por ejemplo, si afectará a sus turnos, salario variable, posibilidades de ascenso o continuidad del empleo.

Además, la persona trabajadora tiene derecho de acceso a sus datos y a obtener una copia, incluido el resultado del perfilado que se haya aplicado a su caso concreto.

4. Base jurídica y minimización de datos

Como cualquier otro tratamiento, el uso de algoritmos de decisión debe apoyarse en una base jurídica válida (art. 6 RGPD), típicamente: ejecución del contrato, cumplimiento de obligaciones legales laborales o interés legítimo, además de las condiciones específicas del art. 22.

Rigen también los principios de:

• Limitación de la finalidad: los datos no pueden reutilizarse para finalidades incompatibles (por ejemplo, usar datos de control horario para finalidades disciplinarias no previstas).
• Minimización: sólo tratar los datos necesarios para la decisión, evitando datos excesivos o irrelevantes (especialmente datos sensibles).
• Exactitud: la empresa debe revisar y corregir errores en los datos que alimentan al algoritmo.

5. Evaluación de impacto y seguridad

Cuando la toma de decisiones automatizadas pueda suponer un alto riesgo para los derechos de las personas trabajadoras (algo habitual si afecta a su estabilidad laboral, salario o salud), la empresa debe realizar una evaluación de impacto en protección de datos (EIPD) antes de poner el sistema en marcha (art. 35 RGPD).

Esta EIPD debe:

• Describir el tratamiento y sus fines.
• Analizar la necesidad y proporcionalidad de la decisión automatizada.
• Identificar riesgos (discriminación, errores sistémicos, opacidad).
• Definir medidas técnicas y organizativas para mitigarlos.

Igualmente, la empresa está obligada a implantar medidas de seguridad adecuadas (art. 32), a documentar el tratamiento en su registro de actividades y a poder demostrar el cumplimiento (“responsabilidad proactiva”).