Automatyczna blokada konta a RODO: sprawa Ubera

Automatyczna blokada konta a RODO to pytanie o sposób podejmowania decyzji, nie tylko o zabezpieczenie systemu. Platforma może wykrywać nadużycia za pomocą reguł lub modeli analitycznych. Jednak całkowite odcięcie użytkownika od usług może mieć poważne skutki, zwłaszcza gdy konto służy do pracy. W sierpniu 2026 roku CNIL poinformował o karze blisko 825 mln euro nałożonej przez holenderski organ ochrony danych na spółki Ubera. Sprawa dotyczyła automatycznych blokad kont kierowców, między innymi z powodu podejrzeń o oszustwo i niskich ocen klientów. Według organu proces nie obejmował udziału człowieka, a decyzja odbierała kierowcom możliwość wykonywania kursów i osiągania przychodu. Nie oznacza to zakazu każdej automatycznej blokady. Pokazuje jednak, że właściciel platformy musi rozróżniać reakcję bezpieczeństwa od decyzji o znaczących skutkach dla osoby.

Najważniejsze informacje

Artykuł 22 RODO dotyczy decyzji opartych wyłącznie na automatycznym przetwarzaniu, które mają skutki prawne lub podobnie istotnie wpływają na osobę.
Blokada konta kierowcy, wykonawcy albo sprzedawcy może pozbawić go źródła przychodu. Wtedy ryzyko jest znacznie wyższe niż przy chwilowej blokadzie po błędnych próbach logowania.
Sam przycisk „odwołaj się” nie wystarcza, jeśli człowiek nie ma informacji, czasu i uprawnień do zmiany decyzji.
Operator powinien udokumentować kryteria, skutek, udział człowieka, treść komunikatu i ścieżkę zakwestionowania wyniku.
RODO ma zastosowanie niezależnie od tego, czy decyzję wydaje system AI, czy prosta reguła programu.
Platforma może stosować środki bezpieczeństwa, ale musi je ocenić pod kątem proporcjonalności i skutków dla osób.

BPPZ – Biuro Porad Prawnych Zacharski

– Czy Twoja platforma blokuje użytkowników bez skutecznej kontroli człowieka?

Zadzwoń Napisz wiadomość

Co wydarzyło się w sprawie Ubera?

24 sierpnia 2026 roku francuski organ CNIL poinformował o decyzji holenderskiego organu ochrony danych. Na spółki UBER B.V. i UBER TECHNOLOGIES INC. nałożono łącznie 824 990 000 euro kary. Postępowanie było prowadzone we współpracy organów unijnych.

Według komunikatu CNIL konta kierowców były automatycznie dezaktywowane przy podejrzeniu oszustwa oraz przy niskich ocenach klientów. Blokady mogły być czasowe albo trwałe. Organ uznał, że w procesie podejmowania tych decyzji całkowicie brakowało interwencji człowieka.

Skutek był poważny. Kierowca bez aktywnego konta nie mógł przyjmować kursów i zarabiać. Dlatego urząd ocenił decyzje w świetle art. 22 RODO. Należy odróżnić to rozstrzygnięcie od innych kar dotyczących Ubera, między innymi przejrzystości i transferów danych.

Wysokość sankcji wiąże się z okolicznościami konkretnej sprawy oraz skalą działalności. Nie jest gotowym wzorem kary dla polskiego marketplace. Wniosek dla biznesu dotyczy konstrukcji procesu: automatyczne reguły mogą szybko wykryć ryzyko, lecz decyzja o odcięciu osoby od ważnej usługi wymaga osobnej oceny prawnej.

Kiedy automatyczna blokada konta a RODO staje się problemem z art. 22?

Trzeba zbadać dwa warunki. Pierwszy dotyczy tego, czy decyzja opiera się wyłącznie na automatycznym przetwarzaniu. Drugi odnosi się do skutku prawnego albo podobnie istotnego wpływu na osobę.

Sama automatyzacja nie wystarczy do zastosowania art. 22. System może wyświetlić alert, uporządkować zgłoszenia albo zablokować próbę logowania na kilka minut. Jeżeli człowiek rzeczywiście ocenia przypadek przed ważną decyzją, rezultat nie musi być decyzją wyłącznie automatyczną.

Ważny jest także rzeczywisty skutek. Użytkownik, który nie może ponownie zalogować się do sklepu przez dziesięć minut, znajduje się w innej sytuacji niż wykonawca, który traci dostęp do wszystkich zleceń. Jednak nawet krótka blokada może być poważna, jeśli następuje w istotnym dla osoby momencie lub dotyczy ważnej usługi.

Ocena powinna obejmować dostępność alternatywy, czas blokady, wpływ na pieniądze, pracę lub istotne uprawnienia oraz możliwość szybkiego odwołania. Nie warto kwalifikować wszystkich blokad na podstawie jednej etykiety w systemie.

Tabela: cztery typy blokady

Sytuacja	Typowy skutek	Priorytet oceny
Krótka blokada po błędnych próbach logowania	Ograniczenie bezpieczeństwa z szybką drogą odzyskania dostępu	Sprawdzić proporcjonalność, zwykle bez automatycznego wniosku o art. 22
Weryfikacja podejrzanej płatności	Opóźnienie pojedynczej operacji	Zbadać czas, wartość i faktyczny wpływ na osobę
Zawieszenie konta sprzedawcy na marketplace	Utrata dostępu do sprzedaży i klientów	Ocena znaczącego wpływu, podstawa i skuteczna kontrola
Stałe usunięcie wykonawcy z platformy	Potencjalna utrata źródła dochodu	Wysokie ryzyko art. 22, potrzeba wnikliwej analizy procesu

Tabela nie jest oceną zgodności konkretnego produktu. Ta sama blokada techniczna może wywoływać odmienne skutki dla różnych użytkowników. Platforma powinna brać pod uwagę realny model korzystania z usługi.

Czy system musi wykorzystywać sztuczną inteligencję?

Nie. Artykuł 22 RODO nie ogranicza się do AI. Decyzję całkowicie automatyczną może podejmować prosta reguła „ocena poniżej progu = konto zamknięte”. To, czy system jest nazywany algorytmem, modelem uczenia maszynowego czy skryptem, ma znaczenie techniczne, ale nie znosi ochrony wynikającej z RODO.

Jeżeli operator używa AI, trzeba dodatkowo ustalić, jakie wymagania mają zastosowanie do konkretnego systemu i sposobu jego wykorzystania. Nie każda funkcja wykrywania oszustw zostaje automatycznie sklasyfikowana jako system wysokiego ryzyka na gruncie AI Act.

Biznesowo oznacza to, że weryfikacja powinna zaczynać się od procesu i skutku decyzji. Dopiero potem trzeba ocenić technologię. Skrót „to tylko automatyczna reguła” może być równie mylący jak „to tylko rekomendacja AI”, jeśli rekomendacja bez kontroli w praktyce zawsze kończy się blokadą.

Przy projektach opartych na modelach AI AI Governance w BPPZ pomaga ustalić rolę narzędzia, zakres danych, nadzór i dokumentowanie decyzji. Taką ocenę warto przeprowadzić przed uruchomieniem funkcji, która wpływa na dostęp do pracy lub przychodu.

Co oznacza rzeczywista interwencja człowieka?

Nie wystarczy, że pracownik może teoretycznie kliknąć „zatwierdź”. Człowiek musi rozumieć dane istotne dla sprawy. Powinien mieć możliwość oceny błędu, uwzględnienia wyjaśnień użytkownika i zmiany wyniku.

Jeżeli pracownik otrzymuje setki zgłoszeń dziennie i zawsze zatwierdza alert, kontrola jest pozorna. Podobnie wtedy, gdy system blokuje konto od razu, a pracownik przegląda je dopiero po tygodniach, podczas gdy osoba traci bieżący przychód. Taka późniejsza możliwość odwołania jest ważna, ale nie naprawia automatycznie sposobu podjęcia pierwotnej decyzji.

W praktyce należy ustalić, kto może zmienić blokadę, na podstawie jakich informacji i w jakim terminie. Wymagania będą różne dla podejrzenia przejęcia konta oraz dla trwałego usunięcia sprzedawcy. W sytuacji zagrożenia bezpieczeństwa szybka blokada może być konieczna, lecz jej skutki i sposób weryfikacji nadal wymagają oceny.

Jeśli platforma rozwija system fraud lub automatycznej moderacji, zamów projektowe doradztwo prawne BPPZ. Przegląd może wskazać, które decyzje wymagają człowieka przed zastosowaniem sankcji, a gdzie wystarczy odrębna ścieżka szybkiej kontroli.

Czy zgoda użytkownika albo regulamin wystarczą?

RODO przewiduje określone wyjątki od ograniczenia decyzji wyłącznie automatycznych. Mogą one dotyczyć konieczności zawarcia lub wykonania umowy, upoważnienia w prawie albo wyraźnej zgody osoby. Każda przesłanka ma własne warunki, a samo wpisanie odpowiedniego zdania do regulaminu nie rozstrzyga sprawy.

Nie każda blokada jest niezbędna do wykonania umowy tylko dlatego, że platforma zawarła umowę z użytkownikiem. Operator powinien zbadać, czy cel da się osiągnąć mniej dotkliwym sposobem, na przykład weryfikacją alarmu przez człowieka.

Wyraźna zgoda również nie jest „uniwersalnym przyciskiem”. Musi spełniać wymagania RODO, w tym dobrowolności i przejrzystości. W relacji, w której dostęp do platformy jest warunkiem uzyskiwania zleceń, ocena dobrowolności może być szczególnie trudna.

Jeżeli zastosowanie ma jeden z dopuszczalnych wyjątków, administrator w odpowiednich przypadkach musi zapewnić środki ochrony praw osoby. Chodzi między innymi o możliwość przedstawienia własnego stanowiska, uzyskania interwencji człowieka i zakwestionowania decyzji. Przy danych szczególnej kategorii dochodzą dodatkowe wymagania.

Jak poinformować użytkownika o decyzji?

Komunikat „naruszyłeś regulamin” często nie wystarcza, gdy przyczyną jest błąd automatycznej oceny. Osoba powinna wiedzieć, kto podjął decyzję, jaki jest jej skutek, jak długo potrwa blokada i w jaki sposób może ją zakwestionować.

Gdy przetwarzanie obejmuje zautomatyzowane decyzje w rozumieniu art. 22 RODO, obowiązki informacyjne obejmują także istotne informacje o zasadach ich podejmowania, znaczeniu i przewidywanych konsekwencjach. Nie wymaga to ujawnienia całego kodu źródłowego lub metod bezpieczeństwa.

Operator może wyjaśnić kategorię zdarzenia: wykryta niespójność danych konta, określonego rodzaju podejrzenie nadużycia albo próg ocen. Powinien jednak unikać ogólnika, który uniemożliwia użytkownikowi odniesienie się do zarzutu. Warto przygotować różne wzory wiadomości dla zabezpieczenia konta, czasowego zawieszenia i trwałego usunięcia.

Przejrzystość nie oznacza rezygnacji z ochrony przed oszustwami. Oznacza możliwość zrozumienia ważnej decyzji oraz skorzystania z realnej drogi jej weryfikacji.

Scenariusz: sprzedawca traci konto po sygnale systemu

Marketplace korzysta z modułu, który wykrywa nietypowy wzrost zwrotów. System po przekroczeniu progu automatycznie zamyka konto sprzedawcy. Zespół obsługi widzi jedynie informację „wysokie ryzyko”, bez danych o zamówieniach. Nie może też odwrócić blokady.

Sprzedawca wyjaśnia, że zwroty dotyczyły jednej wadliwej partii towaru. Jego sklep pozostaje zamknięty przez dwa tygodnie. Traci sprzedaż, choć żaden pracownik nie zbadał sprawy.

W takim modelu platforma powinna przeanalizować, czy decyzja ma podobnie istotny wpływ jak w sprawie kierowców Ubera. Warto odróżnić sygnał do kontroli od definitywnej sankcji. Alert może wstrzymać pojedynczą operację, a człowiek ocenia materiał przed dłuższym zawieszeniem.

Zespół potrzebuje też dostępu do danych istotnych dla sprawy oraz uprawnienia do cofnięcia decyzji. To pozwala zachować ochronę przed nadużyciami bez tworzenia procesu, w którym automat jest ostatecznym arbitrem.

Jak zaprojektować proces blokady konta?

Pierwszy etap to mapa decyzji. Zapisz wszystkie zdarzenia, które uruchamiają ograniczenie konta. Niektóre będą wynikać z prób nieautoryzowanego logowania. Inne mogą dotyczyć podejrzenia nadużycia, oceny użytkownika albo naruszenia zasad platformy.

Następnie dla każdej decyzji określ:

Jakie dane i kryteria uruchamiają alert.
Czy system jedynie rekomenduje działanie, czy sam podejmuje decyzję.
Kiedy osoba traci dostęp oraz na jak długo.
Jakie skutki blokada powoduje w rzeczywistości.
Kto ocenia sprawę i czy może zmienić wynik.
Co użytkownik otrzymuje w komunikacie.
Jak szybko działa odwołanie i jak zapisuje się wynik.
Czy trzeba przeprowadzić DPIA oraz inne analizy ryzyka.

Artykuły 24, 25 i 35 RODO wspierają podejście oparte na dokumentowaniu procesu i ochronie danych w fazie projektowania. Jeśli automatyzacja wiąże się z wysokim ryzykiem dla praw osób, konieczna może być ocena skutków dla ochrony danych.

W ramach audytu RODO BPPZ można przejrzeć faktyczną drogę alertu, blokady i odwołania. Taki przegląd pozwala ustalić, czy opis procesu w regulaminie odpowiada działaniu produktu.

Dokumentacja, która pomaga w razie skargi

Odpowiednia dokumentacja nie polega na zapisaniu każdego możliwego zdarzenia bezterminowo. Powinna jednak pokazać, dlaczego blokada została zastosowana i jak użytkownik mógł ją zakwestionować.

Dokument lub zapis	Jaki problem rozwiązuje
Mapa typów blokad	Rozdziela bezpieczeństwo konta od decyzji o poważnych skutkach
Opis danych i kryteriów	Pomaga ocenić rzetelność oraz minimalizację
Zasady eskalacji do człowieka	Pokazują, kto może ocenić i zmienić wynik
Log decyzji i kontroli	Pozwala odtworzyć przebieg konkretnej sprawy
Treść powiadomienia i odwołania	Potwierdza przejrzystość wobec użytkownika
Analiza ryzyka lub DPIA	Dokumentuje wybór zabezpieczeń

Właściciel produktu powinien uzgodnić te elementy z IT, obsługą klienta i compliance. Jeśli każda grupa używa innej definicji „blokady”, trudno zapewnić użytkownikowi spójną odpowiedź.

Nie warto także zachowywać pełnej historii aktywności tylko dlatego, że kiedyś może dojść do sporu. Retencja danych o alertach, analizach i odwołaniach powinna odpowiadać konkretnemu celowi.

Checklista dla operatora platformy

Czy znamy wszystkie automatyczne reguły ograniczające konto?
Czy oceniliśmy czas blokady oraz jej wpływ na przychód użytkownika?
Czy człowiek może ocenić dane i zmienić ważną decyzję?
Czy odwołanie działa wystarczająco szybko w sprawach o poważnych skutkach?
Czy komunikat podaje powód, skutek i sposób zakwestionowania blokady?
Czy sprawdziliśmy podstawę i wyjątki z art. 22 RODO?
Czy dane używane do oceny są prawidłowe i nie są nadmierne?
Czy logi pozwalają odtworzyć przebieg decyzji?
Czy oceniliśmy potrzebę DPIA oraz, przy AI, kwalifikację systemu?
Czy zespół testuje fałszywe alarmy i skuteczność korekty błędów?

Jeżeli odpowiedzi ujawniają luki, wdrożenie RODO w BPPZ pomaga ułożyć zasady decyzji, odpowiedzialność zespołu i dokumentację. To szczególnie istotne przed skalowaniem platformy na nowe grupy wykonawców lub sprzedawców.

Podsumowanie

Automatyczna blokada konta a RODO wymaga oceny wpływu na człowieka. Krótkotrwały środek bezpieczeństwa i usunięcie wykonawcy z platformy nie powinny być traktowane identycznie.

Sprawa Ubera pokazuje ryzyko procesu, w którym system podejmuje ostateczną decyzję o dostępie do źródła przychodów, a człowiek nie bierze w niej udziału. Platforma powinna znać kryteria, skutki i podstawę prawną blokady. Musi też zapewnić przejrzystość oraz rzeczywistą możliwość weryfikacji decyzji.

Jeśli produkt wykorzystuje automatyczne sankcje, warto przeprowadzić przegląd przed skargą użytkownika. BPPZ oferuje audyt RODO procesów cyfrowych i wsparcie przy zmianie zasad blokowania kont. Pozwala to ograniczyć ryzyko regulacyjne bez rezygnacji z kontroli nadużyć.

FAQ

Czy każda automatyczna blokada konta narusza RODO?

Nie. RODO nie zakazuje automatycznych środków bezpieczeństwa. Artykuł 22 ma szczególne znaczenie wtedy, gdy decyzja jest oparta wyłącznie na automatyzacji i wywołuje skutki prawne lub podobnie istotnie wpływa na osobę. Krótka blokada po błędnych logowaniach zwykle wymaga innej oceny niż trwałe odcięcie wykonawcy od platformy. W obu przypadkach trzeba jednak zapewnić odpowiednią podstawę, przejrzystość i proporcjonalność.

Dlaczego blokada kierowców Ubera została oceniona tak surowo?

Według komunikatu CNIL holenderski organ stwierdził całkowity brak interwencji człowieka w decyzjach o dezaktywacji kont. Kierowcy po blokadzie nie mogli wykonywać kursów i osiągać przychodów. Taki skutek był dla osób znaczący. Nie należy jednak przenosić wysokości kary na inne platformy bez analizy ich procesu oraz okoliczności konkretnej sprawy.

Czy człowiek może tylko zatwierdzić wynik systemu?

Samo kliknięcie nie zapewnia rzeczywistej oceny. Pracownik powinien znać fakty istotne dla sprawy, rozumieć znaczenie alertu i mieć uprawnienie do zmiany wyniku. Jeśli każdą rekomendację zatwierdza automatycznie, kontrola może być pozorna. Operator powinien sprawdzić także czas dostępny na ocenę oraz jakość informacji przekazanych przez użytkownika.

Czy odwołanie po blokadzie zawsze wystarczy?

Nie. Odwołanie jest ważnym środkiem ochrony, ale trzeba ocenić również sposób podjęcia pierwotnej decyzji. Gdy blokada bez kontroli człowieka od razu odbiera możliwość zarabiania, późniejszy przegląd po wielu dniach może nie ograniczyć skutku. Platforma powinna zaprojektować właściwy moment udziału człowieka oraz szybkie terminy rozpatrzenia sprawy.

Czy art. 22 RODO obejmuje również proste reguły programu?

Tak, jeśli spełnione są jego warunki. Przepisy nie wymagają wykorzystania sztucznej inteligencji. Automatyczna reguła, która bez udziału człowieka zamyka konto po przekroczeniu progu, może prowadzić do decyzji o istotnych skutkach. Znaczenie ma rezultat i sposób działania procesu, a nie handlowa nazwa technologii.

Czy zapis w regulaminie pozwala automatycznie zamknąć konto?

Regulamin może opisywać zasady korzystania z platformy, ale nie zastępuje oceny z art. 22 RODO. Jeśli decyzja jest wyłącznie automatyczna i istotnie wpływa na osobę, trzeba zbadać dopuszczalną przesłankę oraz właściwe zabezpieczenia. Samo zaakceptowanie regulaminu nie oznacza automatycznie wyraźnej zgody na każdy rodzaj takiej decyzji.

Jak poinformować użytkownika o powodzie blokady?

Wiadomość powinna wyjaśniać rodzaj powodu, skutek, przewidywany czas ograniczenia i drogę do weryfikacji. Przy decyzjach objętych art. 22 RODO dochodzą szczególne obowiązki dotyczące istotnych informacji o zasadach ich podejmowania i konsekwencjach. Operator nie musi ujawniać kodu źródłowego, lecz nie powinien używać tak ogólnego komunikatu, że osoba nie może odnieść się do decyzji.

Czy blokada przez AI zawsze wymaga oceny AI Act?

Jeśli wykorzystuje się system AI, trzeba sprawdzić obowiązki mające zastosowanie do jego konkretnego zastosowania. Nie można jednak z góry uznać każdego modułu wykrywania nadużyć za system wysokiego ryzyka. RODO należy ocenić niezależnie od tej kwalifikacji. Nawet zwykła reguła blokowania konta może prowadzić do problemu z art. 22, jeśli skutki dla osoby są poważne.