Volgens de AP heeft Uber een “ernstige overtreding” begaan (Uber heeft de overtreding inmiddels stopgezet). Dat blijkt uit de boete van 290 miljoen euro, die in Nederland nog nooit zo hoog is geweest. De boete komt overeen met 0,8 procent van de jaaromzet van zo’n 34,5 miljard euro. De maximale boete die de AP kan opleggen voor dergelijke overtredingen bedraagt 4 procent van de jaarlijkse wereldwijde omzet. In die zin heeft Uber geluk gehad.  

“In Europa beschermt de AVG de fundamentele rechten van mensen door van bedrijven en overheden te eisen dat ze zorgvuldig omgaan met persoonlijke gegevens”, aldus AP-president Aleid Wolfsen. “Maar buiten Europa is dit helaas geen vanzelfsprekendheid. Denk aan overheden die op grote schaal toegang hebben tot data. Daarom zijn bedrijven doorgaans verplicht aanvullende maatregelen te nemen bij het opslaan van persoonsgegevens van Europeanen buiten de Europese Unie. Uber heeft niet het door de AVG vereiste beschermingsniveau voor chauffeurs geboden bij het overbrengen van gegevens naar de VS. Dit is heel ernstig.” 

Het komt niet als een verrassing dat Uber bezwaar maakt en zegt indien nodig naar de rechter te stappen. Het bedrijf gelooft dat er jarenlang verwarring bestond over de regels nadat het Europese Hof van Justitie in 2020 een alomvattende gegevensbeschermingsovereenkomst tussen de EU en de VS verwierp. Bedrijven moesten toen gebruik maken van een zogenaamd modelcontract waarin de EU de standaardregels vastlegde voor een correcte overdracht van gegevens buiten de EU. 

Volgens Uber mocht Uber als niet-EU-bedrijf hier geen gebruik van maken en moest zij aanvullende maatregelen nemen. De AP gaf, aldus Uber, echter geen duidelijkheid over wat die maatregelen hadden moeten zijn. Toen in 2023 een nieuwe algemene overeenkomst tussen de EU en de VS over gegevensoverdracht werd gesloten, werd de onduidelijkheid pas opgelost, zegt Uber en beweert ook dat er in al die jaren niets veranderd hoefde te worden aan het daadwerkelijke gegevensoverdrachtproces. 

De inbreuk kwam aan het licht nadat 170 Franse chauffeurs een klacht hadden ingediend bij een Franse mensenrechtenorganisatie. De Nederlandse AP handelde de klacht af omdat het Europese hoofdkantoor van Uber in Nederland zit. Er was tevens coördinatie tussen andere Europese toezichthouders en de AP. 

Dit is niet de eerste keer dat de AP Uber bekritiseert. Het bedrijf kreeg eerder dit jaar een boete van €10 miljoen opgelegd. Uber is niet open genoeg geweest over hoe lang de gegevens van chauffeurs worden bewaard en waar deze buiten Europa terechtkomen. In 2018 kreeg het bedrijf een boete van €600.000,- omdat het de AP niet snel genoeg op de hoogte bracht na een datalek. Uber is in beroep gegaan tegen de boete van 10 miljoen euro. 

• AP: ‘Uber heeft een ernstige inbreuk gepleegd’ Aleid Wolfson (AP): “Uber heeft niet het door de AVG vereiste beschermingsniveau voor chauffeurs geboden bij het overbrengen van gegevens naar de VS. Dit is heel ernstig.” Foto Autoriteit Persoonsgegevens.