Холандският орган за защита на данните (Autoriteit Persoonsgegevens, AP) наложи глоба в размер на 290 000 000 евро (325 млн. долара) на Uber Technologies Inc. и Uber B.V. заради нарушения на GDPR.

Органът обвинява Uber в прехвърляне на лични данни от Европейското икономическо пространство (ЕИП) към сървъри в Съединените щати без адекватни предпазни мерки, както е определено в глава V от Общия регламент относно защитата на данните.

Това е третият път, в който нидерландският орган за защита на данните налага административна глоба на Uber.

Първата беше глоба в размер на 600 000 евро за лош контрол на достъпа до данни през ноември 2018 г. Втората беше глоба в размер на 10 000 000 евро, наложена през януари 2024 г. за неясни практики на Uber за управление на данни относно обработката на данни от субекти от ЕС.

Разследването на АП относно практиките на Uber за обработка на данни беше предизвикано от оплаквания на френски шофьори и ескалирано до АП от френския орган за защита на данните (CNIL).

Въпросът възникна, след като решението Schrems II на Съда на Европейския съюз обяви за невалиден Щита за защита на личните данни между ЕС и САЩ поради недостатъчни стандарти за защита на данните в САЩ.

Твърди се, че въпреки решението Uber е продължила да предава лични данни на САЩ, без да прилага стандартни договорни клаузи (SCC) или други предпазни мерки, като по този начин е нарушила член 44 от GDPR, който разпорежда, че предаването на данни към трети държави трябва да гарантира равностойно ниво на защита, както в рамките на ЕС.

Това е същото нарушение, за което ирландската Комисия за защита на данните (КЗД) наложи огромна глоба от 1,3 млрд. долара на Meta (Facebook). Неотдавна четири фирми бяха глобени с 1,1 млн. долара от Шведския орган за защита на личните данни (IMY) за подобни нарушения, причинени от използването на Google Analytics.

Отговор на Uber

Uber твърди, че глава V от GDPR не се прилага, тъй като член 3 от GDPR вече е разширил защитата на регламента до техните дейности по обработване на данни в САЩ.

Освен това технологичната фирма твърди, че не се извършва предаване на данни, както е определено в GDPR, тъй като шофьорите предоставят данните си директно на базираните в САЩ сървъри на Uber чрез приложението.

AP отхвърли тези аргументи и продължи да налага масовите санкции. Повече подробности за разследването и окончателното решение на AP можете да намерите в придружаващия документ.

„Това порочно решение и извънредната глоба са напълно неоправдани. Процесът на трансграничен трансфер на данни на Uber беше в съответствие с GDPR по време на 3-годишен период на огромна несигурност между ЕС и САЩ. Ще обжалваме и оставаме уверени, че здравият разум ще надделее.“ – заяви оворител на Uber

Uber твърди, че нейните практики за обработка на данни, както са изложени в нейното известие за поверителност, спазват GDPR. Освен това тя разглежда потоците от данни между потребителите, както и между потребителите и Uber, като основен и присъщ компонент на своите услуги.

Процесът на обжалване може да отнеме до 4 години, през които глобата ще бъде отложена.