L’autorité néerlandaise de protection des données inflige à Uber une amende de 290 millions d’euros pour le transfert de données de conducteurs vers les États-Unis

L’autorité néerlandaise de protection des données inflige à Uber une amende de 290 millions d’euros

• L’autorité néerlandaise de protection des données (DPA) a infligé une amende de 290 millions d’euros à Uber en lien avec le transfert de données personnelles de chauffeurs de taxi européens vers les États-Unis
• La DPA néerlandaise estime qu’Uber a enfreint le RGPD (Règlement général sur la protection des données)
• Uber a désormais mis fin à cette violation

Données sensibles

• Uber stockait sur des serveurs américains des informations de compte de chauffeurs européens, leurs licences de taxi, données de localisation, photos, informations de paiement, pièces d’identité, ainsi que des données pénales et médicales
• Pendant plus de deux ans, ces données ont été transférées sans recours à un mécanisme de transfert approprié
• Après l’invalidation du Privacy Shield UE-États-Unis en 2020, la protection des données n’était pas suffisante faute d’utilisation des clauses contractuelles types
• Depuis août 2021, Uber n’utilisait pas de clauses contractuelles types, ce que la DPA néerlandaise a considéré comme une protection insuffisante des données
• Uber utilise désormais le dispositif succédant au Privacy Shield

Plaintes des chauffeurs

• La DPA néerlandaise a ouvert une enquête après que plus de 170 chauffeurs français ont déposé plainte auprès de l’organisation française de défense des droits humains LDH
• Selon le RGPD, les entreprises qui traitent des données dans plusieurs États membres de l’UE doivent coopérer avec la DPA du pays où se situe leur siège social
• Le siège européen d’Uber est situé aux Pays-Bas
• Pendant l’enquête, la DPA néerlandaise a étroitement coopéré avec la DPA française et coordonné sa décision avec d’autres DPA européennes

Amende infligée à Uber

• Toutes les DPA européennes calculent les amendes infligées aux entreprises selon la même méthode
• L’amende peut représenter jusqu’à 4 % du chiffre d’affaires annuel mondial d’une entreprise
• Uber a enregistré en 2023 un chiffre d’affaires mondial d’environ 34,5 milliards d’euros
• Uber a indiqué son intention de contester l’amende
• La DPA néerlandaise avait déjà infligé à Uber une amende de 600 000 euros en 2018, puis de 10 millions d’euros en 2023

Le récapitulatif de GN⁺

• Cet article traite du cas d’amende infligée à Uber pour violation du RGPD
• Il souligne la nécessité de mettre en place des mesures de protection supplémentaires lors des transferts de données hors d’Europe
• Il aide à comprendre l’importance de la protection des données et la rigueur des règles du RGPD
• Parmi les projets offrant des fonctions similaires, on peut citer les services de protection des données de Google Cloud

[GN⁺]

Avis Hacker News

• Les données aux États-Unis sont principalement gérées par des personnes situées en Europe ou en Inde

  • Les serveurs sont aux États-Unis, mais l’accès aux données se fait depuis l’extérieur
  • Les États-Unis ont besoin de lois plus strictes

• Uber a discuté avec l’autorité néerlandaise de protection des données du flou de la loi

  • Uber affirme n’avoir enfreint aucune règle
  • Le fait que la loi ne soit pas claire ne donne pas le droit d’enfreindre les règles
  • Les amendes ne devraient pas faire partie du coût des affaires

• Uber utilise le dispositif qui a succédé au Privacy Shield

  • Il est possible que cela pose encore problème à l’avenir
  • La Commission européenne ne gère pas correctement la situation

• Il est ironique qu’Uber ait été condamné à une amende aux Pays-Bas

  • Aux Pays-Bas, les taxis traditionnels sont protégés
  • L’amende est très élevée

• L’autorité néerlandaise de protection des données a enquêté sur les plaintes de plus de 170 chauffeurs français

  • Une organisation française de défense des droits humains a déposé la plainte

• Certains se demandent si les amendes infligées aux entreprises américaines sont devenues une grande industrie en Europe

• Des questions sont soulevées sur le lien avec l’EU-US Data Privacy Framework

  • On se demande si ce problème aurait pu être résolu en remplacement du Privacy Shield

• La procédure d’appel devrait durer environ 4 ans

  • L’amende est suspendue jusqu’à la fin de toutes les procédures judiciaires

• L’amende sera considérée comme un coût d’exploitation en Europe et répercutée dans les prix

• Le total des amendes infligées par l’UE aux entreprises technologiques américaines ces dernières années atteint 14,8 milliards de dollars

  • Il est peu probable que les entreprises technologiques américaines quittent l’Europe
  • Les régulateurs réagissent de manière excessive