Vandaag publiceerde de Autoriteit Persoonsgegevens (AP) een persbericht met de volgende boodschap:
De Autoriteit Persoonsgegevens (AP) legt Uber een boete op van 290 miljoen euro. De AP heeft geconstateerd dat Uber persoonsgegevens van Europese taxichauffeurs heeft doorgegeven naar de Verenigde Staten (VS) en dat Uber daarbij de gegevens onvoldoende heeft beschermd. Dit is volgens de AP een ernstige overtreding van de Algemene verordening gegevensbescherming (AVG). Inmiddels heeft Uber de overtreding beëindigd.
Overigens is dit niet de eerste boete die de AP oplegt aan Uber; eerdere, en aanzienlijk kleinere, boetes zijn opgelegd in 2006 (EUR 600.00) en 2023 (EUR 10 miljoen. Uber heeft bezwaar aangetekend tegen de boete van 10 miljoen en heeft ook aangegeven tegen deze laatste boete in beroep te gaan.
Voor de broodnodige details geeft het persbericht ook nog de volgende informatie:
Het Hof van Justitie van de EU heeft het EU-VS Privacy Shield in 2020 ongeldig verklaard. Volgens het Hof konden modelcontracten nog wel een geldige grondslag bieden voor doorgifte van gegevens naar landen buiten de EU. Maar alleen als een gelijkwaardig beschermingsniveau in de praktijk kon worden gewaarborgd. Omdat Uber vanaf augustus 2021 geen modelcontract meer heeft gebruikt, waren de gegevens van chauffeurs uit de EU volgens de AP onvoldoende beschermd. Uber maakt sinds eind vorig jaar gebruik van de opvolger van het Privacy Shield.
Overigens deelde Uber ook bijzondere persoonsgegevens met de VS:
Uber verzamelde onder meer gevoelige informatie van chauffeurs uit Europa en bewaarde die op servers in de VS. Het gaat om accountgegevens en taxilicenties, maar ook om locatiegegevens, foto’s, betaalgegevens, identiteitsbewijzen en in sommige gevallen zelfs strafrechtelijke gegevens en medische gegevens van chauffeurs.
De AP legt deze boete op omdat de Europese hoofdvertegenwoordiging van Uber in Nederland is gevestigd. De zaak is aanhangig gemaakt nadat meer dan 170 Franse chauffeurs een klacht indienden bij de Ligue Des Droits De L’homme Et Du Citoyen (LDH), een Franse belangenorganisatie op het gebied van mensenrechten:
Op 12 juni 2020 heeft de Commission Nationale de l’Informatique et des Libertés (CNIL) een klacht ontvangen van de Franse niet-gouvernementele organisatie Ligue Des Droits De L’homme Et Du Citoyen (LDH) namens 21 Uber-chauffeurs. Gaandeweg hebben zich nog eens 151 Uber-chauffeurs bij de klacht aangesloten, zodat deze namens 172 klagers is ingediend. LDH heeft vervolgens op 29 september 2020 een aanvullende klacht bij de CNIL ingediend, die op 11 januari 2021 is doorgezet naar de AP.
Voor wie de details van de boete wil weten (en wie wil dat nou niet?) is hier de link.