Toezichthouders EU onderzoeken datalek Uber onder leiding van Nederlandse AP

De Nederlandse Autoriteit Persoonsgegevens gaat een Europese werkgroep leiden die onderzoek gaat doen naar het recent naar buiten gekomen datalek bij taxidienst Uber. De werkgroep bestaat verder uit toezichthouders uit België, Duitsland, Frankrijk, Italië, Spanje en het Verenigd Koninkrijk.

De AP vermeldt niet wanneer het onderzoek klaar moet zijn. De Nederlandse toezichthouder heeft op 22 november een melding gekregen over het datalek van Uber en de toezichthouders zijn inmiddels begonnen naar het datalek. Zo'n onderzoek kan leiden tot een bestraffing van de taxidienst, bijvoorbeeld in de vorm van een boete.

Vorige week werd duidelijk dat Uber hackers 100.000 dollar had betaald om een datalek stil te houden. Bij dat datalek kregen de hackers namen, e-mailadressen en mobiele telefoonnummers van 57 miljoen gebruikers binnen. Ook downloadden ze de namen en rijbewijsnummers van 600.000 chauffeurs in de VS. De hackers kwamen aan de gegevens via een codeerwebsite op GitHub, die Uber-technici gebruikten. Via logingegevens konden de hackers bij de data die op een Amazon Web Services-account stond.

Niet alleen in Europa loopt een onderzoek naar Uber vanwege deze zaak. De procureur-generaal van de Amerikaanse staat Washington heeft Uber aangeklaagd op basis van het schenden van een wet die consumenten beschermt en een wet die bedrijven verplicht om beveiligingslekken te melden. Deze laatste wet uit de staat Washington schrijft voor dat een melding moet plaatsvinden binnen 45 dagen als er minstens 500 inwoners zijn getroffen. Dat gebeurde echter pas op 21 november, 371 dagen nadat de diefstal werd ontdekt.

Reacties (11)

[Cyb]

En vanavond op Zembla nog een betrokkenheid met Nederland: https://zembla.bnnvara.nl...nd-britse-omzetbelasting:

Taxidienst Uber ontwijkt niet alleen winstbelasting, maar ook omzetbelasting met een fiscale route via Nederland. Dat blijkt uit onderzoek van ZEMBLA. Op geen enkele taxirit in Groot-Brittannië wordt omzetbelasting geheven. De Britse schatkist liep daardoor vorig jaar 23 miljoen pond aan BTW-inkomsten mis.

[Verwijderd]

?!?! Dat winstbelasting ontweken wordt is niet nieuw... en afhankelijk van de juridische constructie, wettelijk gezien legaal (hoewel immoreel en asociaal). Alleen ontduiken van BTW/VAT is compleet illegaal... dat kan nog een flink staartje gaan krijgen.

[Verwijderd]

Alleen ontduiken van BTW/VAT is compleet illegaal.

Dat hoeft niet, ligt eraan wat de situatie is. Er is bijvoorbeeld de regeling voor intracommunautaire diensten. Als jij iets levert aan een ondernemer in een ander land is die ondernemer zelf verantwoordelijk BTW-aangifte te doen. Omdat Uber hun chauffeurs ziet als zelfstandige ondernemers is Uber dus (volgens henzelf, dan) niet verantwoordelijk voor de BTW-aangifte, en is het niet Uber, maar de individuele chauffeurs die BTW ontduiken.

Aanvulling: even nog wat gegoogeld. De BTW-grens in Groot Brittannië is 85.000 pond. Een chauffeur hoeft dus geen BTW af te dragen als zijn inkomen daar onder blijft, als het verhaal van Uber (dat die chauffeurs zelfstandige ondernemers zijn) overeind blijft. Als dat verhaal niet klopt, en die chauffeurs zijn geen zelfstandige ondernemers maar werknemers van Uber (waar het op gaat lijken), krijgt Uber een fikse naheffing.

Aanvulling 2: Oh. Als ik nou even de link had geopend had ik 't al geweten, want precies dit staat ook op de site van Zembla

[Reactie gewijzigd door Verwijderd op 27 juli 2024 02:55]

[Cergorach]

Alleen ontduiken van BTW/VAT is compleet illegaal... dat kan nog een flink staartje gaan krijgen.

Wellicht dat je, voordat je iets dergelijks roept, eerst even checked of dat wel klopt. In Nederland heb je weldegelijk verschillende diensten en goederen waar 0% BTW over wordt betaald:
https://www.belastingdien..._0_btw/diensten_met_0_btw

Zo zijn er ook 0% VAT regels voor de UK:
https://www.gov.uk/guidan...ferent-goods-and-services

En specifiek dit stuk:
https://www.gov.uk/govern...-744a-passenger-transport

Ik vermoed dat de Uber legal department het enigzins Uberruim heeft geinterperteerd ;-)

[WillySis]

Über komt nu wel in zwaar weer terecht.
De zaak tegen Waymo loopt nog, het onderzoek naar het datalek in de VS en nu ook in Europa en daar zal ook nog het ontduiken van de BTW/VAT in Groot-Britanië (en andere Europese landen?) bij komen.

De goede naam is Über nu echt wel kwijt. De kans dat Über aan al dat onderzoek en mogelijke boetes ten onder gaat wordt steeds groter. Winst maken doet men bijna nooit. Kortom geen goed bedrijf om nu nog in te investeren.

[laptopleon]

Welke goede naam? Al vanaf het begin was er kritiek op het businessplan, het gevaar op uitbuiting, afschuiven van verantwoordelijkheid op de rijders die vaak geen alternatieven hebben, maling hebben aan 'lokale' wetgeving etc.

[5pë©ïàál_Tèkén]

Gaat het AP het niet erg druk krijgen? De GDPR komt straks ook op hun bord, naast alle gewone werkzaamheden.

[matroosoft]

Goed punt, dat vroeg ik me ook al af. Diverse keren bij recente nieuwsberichten gelezen dat de AP niet genoeg mankracht heeft. Benieuwd waarom ze zich dit nu op de hals halen.

Onlang bij het nieuwsbericht over Focum, de databank die ongewenst data verzameld van Nederlanders en verkoopt aan bedrijven:

De experts verwijten toezichthouder Autoriteit Persoonsgegevens laksheid. (...) De Autoriteit Persoonsgegevens heeft sinds 2003 geen onderzoek meer gedaan naar de datakantoren. De waakhond zegt in een reactie dat het alle meldingen bekijkt, maar slechts in uitzonderlijke gevallen ook een onderzoek start. (...) Daarnaast benadrukt de organisatie te beschikken over beperkte mankracht en dus niet alles kan doen.

En in een artikel van Executive People over gevolgen van nieuwe Europese privacy wetgeving voor de AP:

De Autoriteit Persoonsgegevens (AP) moet extra mankracht en middelen krijgen om in de toekomst effectief toezicht te kunnen houden op de bescherming van persoonsgegevens. Dit blijkt uit een analyse die is uitgevoerd naar aanleiding van de nieuwe Europese privacywetgeving die op 25 mei 2018 van kracht wordt. (...) Per scenario geeft het bureau het benodigde aantal fte’s en financiële middelen aan waarmee de AP op een efficiënte en effectieve wijze invulling kan geven aan haar nieuwe taken en bevoegdheden. Het berekende aantal fte’s varieert van minimaal 185 tot maximaal 270 fte’s. Dit komt neer op een groei van bijna 2,5 tot 3,5 keer ten opzichte van de huidige situatie.

En in een artikel van NRC over bedrijven die hun datalekken niet melden:

De AP kampt ook met een ander obstakel. Het kabinet schatte eerder dat 130.000 Nederlandse organisaties met privacygevoelige gegevens werken. Bij de toezichthouder werken gemiddeld zes man fulltime aan het controleren van gemelde datalekken. „We zijn te klein”, zegt Wolfsen. „Dat geven de Tweede Kamer, minister Van der Steur van Veiligheid en Justitie en wijzelf toe.”

In een artikel van Follow the Money, wanneer het gaat over de meldplicht van bedrijven:

Of de meldplicht effect heeft moet nog blijken. Bernold Nieuwesteeg, wijdde zijn scriptie aan de Technische Universiteit Delft en Universiteit Utrecht aan dit onderwerp. Aan de hand van onderzoek naar het effect van de Amerikaanse versie van deze wet, voorspelt hij dat de meldplicht zijn doel voorbij gaat schieten. ‘Lang niet alle organisaties gaan de datalekken melden,' aldus Nieuwesteeg. Met name een kleine pakkans en het risico op imagoschade van openbaarmaking spelen daarbij volgens hem een rol. 'Een organisatie denkt wel twee keer na om een datalek op te geven. De Autoriteit Persoonsgegevens heeft al aangegeven weinig mankracht te hebben.’

[Reactie gewijzigd door matroosoft op 27 juli 2024 02:55]

[Blokker_1999]

Het gaat hier dan ook niet om een klein lek. Een lek van dit formaat moet onderzocht worden zodat er kan nagegaan worden of er fouten zijn gemaakt en wat er in de toekomst beter moet. Welk land moet leiden maakt eigenlijk niet veel uit, maar kan me inbeelden dat daar een beurtrol voor is.

[laptopleon]

Inderdaad geen klein lek en daarom is het vaak onmogelijk verborgen te houden. De dader zal de hack immers meestal claimen of de data verkopen waarna de effecten de hack verraden.

[metalmania_666]

Ga er maar van uit dat de AP hun zaakjes op het gebied van de GDPR op orde heeft.

En ja, dit is ook een zaak die onder de GDPR zou vallen, dus terecht dat het wordt onderzocht.