L'autorité néerlandaise de protection des données personnelles (AP) a estimé qu'Uber n'avait pas suffisamment protégé les données personnelles de chauffeurs de taxi européens lors du transfert de ces données vers les États-Unis.
Uber a écopé de 290 millions d'euros d'amende en raison de transferts de données insuffisamment protégées de chauffeurs européens vers son siège aux États-Unis, a déclaré l'autorité néerlandaise de protection des données personnelles (AP) ce lundi.
« L'AP a constaté qu'Uber a transféré des données personnelles de chauffeurs de taxi européens vers les États-Unis et qu'Uber n'a pas suffisamment protégé ces données », a indiqué l'autorité concernant sa décision, contestée par Uber.
L'AP avait lancé une enquête sur Uber après une plainte en France de plus de 170 chauffeurs. L'enquête a été menée en collaboration avec la Commission nationale de l'informatique et des libertés (CNIL). Selon cette dernière, l'amende a été infligée le 22 juillet. L'AP estime qu'Uber est coupable de « violation grave du règlement général sur la protection des données (RGPD) ».
« En Europe, le RGPD protège les droits fondamentaux des personnes en exigeant que les entreprises et les gouvernements traitent les données personnelles avec précaution », a déclaré le président de l'AP, Aleid Wolfsen, cité dans le communiqué.« Malheureusement, cela ne va pas de soi en dehors de l'Europe. Pensez aux gouvernements qui peuvent exploiter les données à grande échelle », a-t-il ajouté.
Uber a désormais mis fin à la violation, selon l'AP.
Uber conteste et annonce faire appel
« Uber conteste cette décision et l'interprétation de l'AP concernant les règlements régissant les transferts de données vers les États-Unis de 2020 à 2023, une période pendant laquelle les institutions européennes et américaines étaient en désaccord », a déclaré la société dans un communiqué.
« Cette décision biaisée et cette amende tout à fait inhabituelle sont totalement injustifiées », a estimé une porte-parole, cité dans le communiqué. « Le processus de transfert transfrontalier de données d'Uber était conforme au RGPD pendant la période de trois ans caractérisée par une immense incertitude entre l'UE et les États-Unis », a-t-elle ajouté. « Nous ferons appel et restons confiants dans le fait que le bon sens prévaudra », a-t-elle indiqué.
10 millions d'euros pour manque de transparence en janvier
En janvier, le régulateur néerlandais de la vie privée avait déjà infligé une amende de 10 millions d'euros à Uber. Motif ? Manque de transparence sur le traitement des données de ses chauffeurs européens. L'AP avait indiqué avoir imposé l'amende après que plus de 170 chauffeurs français avaient déjà tiré la sonnette d'alarme auprès de la Ligue des droits de l'Homme et du citoyen. Une plainte du groupe d'intérêt français avait été transmise aux Pays-Bas, car c'est là que se trouve le siège européen d'Uber.
Newsletter
Industrie et service
Chaque jour à 13h, l’essentiel de l’actualité industrielle.
L'autorité néerlandaise pour la protection des données estimait que l'entreprise n'avait pas été claire « sur la durée pendant laquelle elle a conservé les données des chauffeurs européens et vers quels pays hors d'Europe elles ont été transmises », avait-elle expliqué. « Uber a également rendu difficile pour les conducteurs d'exercer leurs droits à la vie privée », avait-elle ajouté dans un communiqué.
Les utilisateurs ont le droit de consulter les données, de les faire corriger ou supprimer, avait rappelé le régulateur néerlandais. Mais Uber avait notamment rendu « inutilement compliqué » pour les chauffeurs la soumission d'une demande de consultation de leurs données. Un formulaire numérique existait, mais était très difficile à trouver sur l'application, et les informations partagées ensuite étaient « difficiles à interpréter ».
Traitement des données «opaques»
En outre, l'entreprise n'avait pas indiqué clairement dans ses conditions de confidentialité combien de temps elle conservait les données des chauffeurs et quelles mesures de protection spécifiques sont prises lorsque celles-ci sont transférées vers des pays en dehors de l'Espace économique européen (EEE).
« Les conducteurs ont le droit de savoir comment Uber traite leurs données personnelles », avait souligné Aleid Wolfsen, président de l'AP, cité dans le communiqué. Or, « cela était opaque », avait-il poursuivi. « Si vous ne savez pas ce qu'il advient de vos données, vous ne savez pas si vous êtes désavantagé ou traité injustement, et vous ne pouvez exercer vos droits », a-t-il ajouté.
Uber avait pris des mesures pour améliorer la situation, et avait fait appel de la décision, selon l'AP. « L'autorité néerlandaise de protection des données a reconnu que nous avions résolu les quelques points à "impact mineur" soulevés par les chauffeurs, leurs autres plaintes n'étant pas fondées », avait déclaré une porte-parole d'Uber dans un communiqué envoyé à l'AFP. « Nous nous engageons à améliorer continuellement nos processus de demande de données et nous coopérerons toujours de manière constructive avec les autorités pour répondre à leurs préoccupations », avait-elle ajouté.
