Uber doit payer 290 millions d'euros à l'agence néerlandaise de protection des données pour avoir transféré des données de chauffeurs de taxi européens vers des serveurs situés aux États-Unis.
PUBLICITÉUber s'est vu infliger une amende de 290 millions d'euros aux Pays-Bas pour avoir transféré les données personnelles de ses chauffeurs aux États-Unis.
L'agence néerlandaise de protection des données (DPA) a constaté qu'Uber recueillait des "informations sensibles" sur ses chauffeurs européens, telles que les licences de taxi, les données de localisation et même les données médicales, et les conservait sur des serveurs américains.
Uber a effectué les transferts vers ses bases de données américaines sans "sauvegarder de manière appropriée les données relatives à ces transferts", a ajouté la DPA.
La DPA considère ce transfert comme une "violation grave" du règlement général sur la protection des données (RGPD) de l'Europe.
Ces lois sur les données exigent que "les entreprises et les gouvernements traitent les données à caractère personnel avec le soin nécessaire", a déclaré Aleid Wolsen, président de la DPA, dans un communiqué publié sur le site web de l'agence.
"Malheureusement, cela ne va pas de soi en dehors de l'Europe. Pensez aux gouvernements qui peuvent exploiter des données à grande échelle".
Une amende "totalement injustifiée"
"Cette décision erronée et cette amende extraordinaire sont totalement injustifiées", a déclaré un porte-parole d'Uber à Euronews Next dans un courriel.
Uber maintient qu'elle s'est conformée au GDPR après trois années d'"immense incertitude" entre les Etats-Unis et l'UE sur la manière dont les règles seraient appliquées.
Selon Uber, le problème remonte à 2020, lorsque la Cour de justice de l'UE a déterminé que le cadre actuel de transfert de données entre l'UE et les États-Unis n'était plus conforme au GDPR.
Les entreprises européennes et américaines ont été "laissées sans lignes directrices claires pour les flux de données transatlantiques" pendant près de trois ans, selon une déclaration de soutien à Uber de la Computer & Communications Industry Association (CCIA Europe).
La Commission européenne a résolu la situation en juillet 2023, en publiant une déclaration affirmant que les États-Unis offrent une protection suffisante pour les données européennes.
Uber a déclaré qu'elle n'avait pas à modifier sa façon de stocker les informations aux États-Unis lorsque ce jugement a été rendu.
"Les amendes rétroactives imposées par les autorités chargées de la protection des données sont d'autant plus inquiétantes que ces mêmes organismes de surveillance de la vie privée n'ont pas su fournir de conseils utiles pendant cette période d'incertitude juridique importante, en l'absence de tout cadre juridique clair", a déclaré Alexandre Roure, responsable des politiques de la CCIA Europe, dans un communiqué envoyé par courrier électronique.
Pour la CCIA, les amendes rétroactives signifient qu'il y aurait une incertitude juridique pour tout ce qui se passe en ligne entre 2020 et 2023, des vidéoconférences au traitement des paiements en ligne.
Uber a déclaré qu'elle ferait appel de l'amende et "reste confiante dans le fait que le bon sens prévaudra". L'appel signifie que l'amende est suspendue jusqu'à ce qu'une décision finale soit prise.
PUBLICITÉTroisième amende pour Uber en cinq ans
La DPA a lancé son enquête au début de l'année après que 170 chauffeurs français se sont plaints à l'ONG française Ligue des droits de l'Homme en 2021.
Le siège d'Uber pour l'Europe, le Moyen-Orient et l'Afrique se trouvant à Amsterdam, le DPA s'est saisi de l'affaire. Les autorités néerlandaises ont également infligé à Uber une amende de 10 millions d'euros en décembre dernier et de 600 000 euros en 2018.
Dans son enquête de décembre 2023, le DPA a constaté qu'Uber n'avait pas répondu assez rapidement aux demandes de données de ses chauffeurs.
Uber a également fourni des informations "incomplètes" dans sa déclaration de confidentialité sur la manière dont l'entreprise transférait les données aux États-Unis, selon l'autorité française de protection des données, qui a travaillé avec les Pays-Bas sur l'affaire.
PUBLICITÉ"Cette décision réaffirme l'importance d'exiger des informations transparentes et la nécessité de garantir le respect des droits des personnes concernées", a déclaré l'autorité française de protection des données dans un communiqué à l'époque.
Jérôme Giusti, l'avocat de la Ligue française des droits de l'homme, a déclaré en février qu'il pensait que la plainte de décembre était "la première action à grande échelle menée par des travailleurs en Europe sur la base du GDPR".
"Les chauffeurs que je représente envisagent d'engager une action de groupe pour obtenir réparation, suite à cette première décision de condamnation devant les tribunaux français".
Euronews Next a contacté l'ONG française pour obtenir une mise à jour sur une éventuelle action en justice, mais n'a pas obtenu de réponse immédiate.
PUBLICITÉUber maintient dans cette affaire que la DPA a déclaré que la plateforme de covoiturage avait rempli ses obligations de fournir des données en temps voulu à ses chauffeurs.
L'entreprise a déclaré que son appel concernant l'affaire de décembre 2023 est toujours actif.