De Autoriteit Persoonsgegevens heeft een boete van 290 miljoen euro opgelegd aan Uber. Het taxibedrijf stuurde data van Europese chauffeurs naar de VS zonder daar goede beveiligingsmaatregelen voor te nemen. Het is de op vier na hoogste boete die ooit onder de AVG is uitgedeeld en een recordboete voor de AP.
De Nederlandse privacytoezichthouder schrijft dat Uber de boete krijgt omdat het de gegevens van Europese taxichauffeurs slecht beschermde. Het ging daarbij onder andere om gevoelige informatie, zoals medische gegevens en strafrechtdossiers. Uber stuurde die gegevens door naar de Verenigde Staten, maar had daar geen modelverklaring opgesteld.
Hoewel de boete van de Nederlandse toezichthouder komt, is het onderzoek in Frankrijk begonnen. In juni 2020 stapten 21 Uber-chauffeurs daar naar mensenrechtenorganisatie Ligue Des Droits De L’homme Et Du Citoyen. Bij die klacht sloten zich later nog eens 151 andere Uber-chauffeurs aan. De LDH stapte met die klacht weer naar de CNIL, de Franse nationale privacytoezichthouder. Die zette de klacht in januari 2021 door naar de Nederlandse Autoriteit Persoonsgegevens, omdat het Europese hoofdkantoor van Uber in Nederland staat.
Na afloop van dat onderzoek op basis van de klacht van de chauffeurs diende de LDH nog een 'aanvullende klacht' in bij de CNIL. Die klacht draaide om hoe Uber omgaat met persoonsgegevens en de doorgifte daarvan naar de VS, specifiek nadat dataoverdrachtverdrag Privacy Shield ongeldig werd verklaard in 2020. Privacy Shield was een verdrag waarbij Europese bedrijven data naar de VS konden sturen. In 2020 concludeerde het Europese Hof van Justitie dat er in de VS echter 'geen gelijkwaardig beschermingsniveau door de doorgifte van persoonsgegevens bestond'. Met andere woorden: gegevens van Europese gebruikers mogen niet zomaar naar servers in de VS worden gestuurd, omdat de Amerikaanse overheid die gegevens makkelijk kan opvragen en niet goed beschermt. Doorgifte is sindsdien alleen nog mogelijk met een 'standard contractual clause', ook wel 'standaardcontractbepalingen' of 'SCC's' genoemd. Daarin moet een bedrijf duidelijk maken hoe het de gegevens van zijn Europese gebruikers beschermt.
De Autoriteit Persoonsgegevens concludeert nu dat Uber daar de mist in ging. Het bedrijf had een wereldwijd gecentraliseerde ict-infrastructuur. Daardoor werden persoonsgegevens op de servers van Uber automatisch naar de VS gestuurd.
Gevoelige gegevens en AVG-verzoeken
Uber had geen standaardcontractbepalingen voor het doorsturen van de gegevens.
Het gaat volgens de AP daarbij specifiek om twee verwerkingen. De eerste draait om gegevens die chauffeurs moeten afstaan via de verplichte chauffeursapp. Via die app staan ze account- maar ook locatiegegevens af aan Uber, maar ook hun identiteitsbewijs of rijbewijs en taxilicentie. Verder moeten chauffeurs medische gegevens afstaan en eventueel een strafrechtdossier. Verder werden er gegevens naar de VS gestuurd als chauffeurs zich beriepen op hun AVG-rechten, zoals het recht op inzage van hun eigen data of het doen van een verwijderverzoek. Gegevens die chauffeurs in dat formulier invullen, zoals hun telefoonnummer, worden opgeslagen op Amerikaanse servers.
Uber heeft in augustus 2021 zijn bestaande standaardcontractbepalingen stopgezet. Het bedrijf zei dat ze niet nodig waren. Standaardcontractbepalingen zijn alleen nodig bij 'doorgifte' naar andere landen. Volgens Uber was daar geen sprake van, omdat het bedrijf uit verschillende juridische entiteiten bestond die de gegevens onder een joint controller agreement onderling konden uitwisselen. Uber merkt op dat het begrip 'doorgifte' in de AVG niet specifiek wordt gedefinieerd. Dat klopt; dat is aan bedrijven, toezichthouders en rechters om te bepalen. De AP concludeert nu dat er in dit geval sprake was van doorgifte, maar Uber bestrijdt dat.
Geen standaardcontractbepalingen
De Autoriteit Persoonsgegevens stelt daarmee dat Uber artikel 44 van de AVG heeft overtreden. Dat artikel regelt hoe bedrijven gegevens naar andere landen moeten doorgeven. Uber deed dat in ieder geval vanaf 6 augustus 2021, toen het de standaardcontractbepalingen opzegde, tot zeker 27 november 2023. De AP stelt verder dat Uber structureel gegevens doorstuurde, en niet slechts incidenteel, zoals het bedrijf zelf stelt. Uber beriep zich namelijk op artikel 49 van de AVG. Het bedrijf stelt dat er een afwijking kon gelden voor Uber omdat de doorgifte noodzakelijk is voor het uitvoeren van het werk dat Uber deed. De AP zegt dat Uber zich daar niet zomaar op kan beroepen en concludeert verder ook dat die doorgifte niet noodzakelijk is.
Volgens de AP 'had Uber op grond van de AVG en jurisprudentie van het Europees Hof van Justitie kunnen weten' dat het een beter 'doorgifte-instrument' nodig had om data naar de VS te sturen. De AP merkt op dat chauffeurs de algemene voorwaarden van Uber wel moesten accepteren om voor hen te werken en daarin dus geen keus hadden. Ook het feit dat de overtreding twee jaar en drie maanden duurde, speelt mee in hoe hoog de boete is. Verder speelt mee dat chauffeurs veel gevoelige informatie moesten afstaan aan Uber.
Hoge boete
De boete is de op vijf na hoogste die in Europa onder de AVG is uitgedeeld.
De AP vindt dat er een 'hoge inbreuk van de privacy' plaatsvond. Onder de AVG kan een bedrijf een boete krijgen van maximaal vier procent van de jaaromzet. De AP kiest er vanwege de ernst van de omstandigheden voor die boete lager te maken, maar toch op 290 miljoen euro te leggen. Uber haalde haalde vorig jaar een jaaromzet van 34,2 miljard euro.
De boete is daarmee zeer hoog. Het is met grote afstand de hoogste boete die de Autoriteit Persoonsgegevens heeft uitgedeeld. De vorige hoogste boete van de Nederlandse toezichthouder was opvallend genoeg ook voor Uber. Het bedrijf kreeg begin dit jaar een boete van 10 miljoen euro, omdat het chauffeurs van slechte informatie voorzag als ze een inzageverzoek deden.
De boete is de vijfde hoogste die ooit in Europa is uitgedeeld voor een AVG-overtreding. Alleen Meta, Amazon en TikTok kregen eerder hogere boetes. Meta kreeg drie Ierse boetes van 1,2 miljard, 405 miljoen en 390 miljoen euro. Amazon kreeg een Luxemburgse boete van 746 miljoen euro en TikTok kreeg 345 miljoen euro boete van de Ierse overheid.
Update: in het intro stond aanvankelijk dat het om een recordboete ging. Dat moest een record voor Nederland zijn, dus dat is verduidelijkt.