Kara została wymierzona za nieprawidłowe przesyłanie danych kierowców z Europy do Stanów Zjednoczonych, co zdaniem DPA stanowiło poważne naruszenie europejskich standardów ochrony danych.
Według informacji przekazanych przez DPA, Uber przez ponad dwa lata przesyłał dane europejskich kierowców do USA bez odpowiednich środków zabezpieczających, co mogło narazić dane na nieautoryzowany dostęp. W opinii urzędu było to sprzeczne z Ogólnym Rozporządzeniem o Ochronie Danych (RODO), które ściśle reguluje przepływ danych osobowych poza granice Unii Europejskiej.
Problemy Ubera sięgają 2020 roku, kiedy to Trybunał Sprawiedliwości Unii Europejskiej unieważnił tzw. Tarczę Prywatności, mechanizm stosowany przez firmy do legalnego przesyłania danych między UE a USA. Wyrok ten wywołał ogromną niepewność wśród firm korzystających z transgranicznego przepływu danych. Trybunał wyraził obawy, że amerykańskie przepisy umożliwiają służbom wywiadowczym dostęp do danych obywateli Unii, co stanowi naruszenie ich prywatności.
Mimo tego wyroku, Uber kontynuował przesyłanie danych kierowców do Stanów Zjednoczonych, co według holenderskiego urzędu ochrony danych stanowiło naruszenie prawa. Jak wskazuje DPA, firma nie wprowadziła odpowiednich zabezpieczeń, aby chronić informacje przed potencjalnym dostępem nieautoryzowanych podmiotów, co wywołało interwencję regulatora.
Uber ostro skrytykował decyzję DPA, zaprzeczając, jakoby naruszył unijne przepisy dotyczące ochrony danych. W swoim oświadczeniu firma argumentuje, że proces transgranicznego przesyłania danych był zgodny z RODO w okresie, w którym niepewność regulacyjna między UE a USA była szczególnie duża.
“Ta błędna decyzja i nadzwyczajna kara są zupełnie nieuzasadnione” — napisał Uber w oświadczeniu. Firma zapowiedziała, że złoży apelację i jest przekonana, że sądy przyznają jej rację. Zdaniem Ubera, proces apelacyjny może potrwać około czterech lat, a do czasu zakończenia postępowania grzywna pozostaje zawieszona.
Cała sprawa rozpoczęła się od skargi złożonej we Francji przez tamtejszą organizację praw człowieka, która działała w imieniu ponad 170 kierowców Ubera. Sprawa trafiła do DPA, gdyż europejska centrala Ubera znajduje się w Holandii. Francuski odpowiednik DPA, CNIL, współpracował z holenderskim urzędem przy prowadzeniu dochodzenia.
To już kolejna kara nałożona przez holenderski urząd na Ubera. W styczniu 2024 roku DPA nałożyła na firmę grzywnę w wysokości 10 milionów euro za nieujawnienie, jak długo przechowuje dane kierowców oraz do jakich krajów poza UE są one przesyłane. Decyzja ta, podobnie jak obecna, wpisuje się w trwające od kilku lat spory Ubera z europejskimi regulatorami w zakresie ochrony danych osobowych.
Uber ma prawo odwołać się od decyzji holenderskiego urzędu do sądu, co zapowiada w swoich oficjalnych oświadczeniach. Decyzja DPA wywołuje szeroką dyskusję na temat ochrony prywatności w kontekście globalnych platform technologicznych, które coraz częściej stają się przedmiotem regulacyjnych sporów w Unii Europejskiej. Przypadek Ubera może mieć daleko idące konsekwencje dla innych firm korzystających z transgranicznych przepływów danych i może skłonić unijnych regulatorów do zaostrzenia kontroli nad podobnymi praktykami.
Ostateczny wynik apelacji Ubera oraz decyzje sądów mogą znacząco wpłynąć na przyszłość firm działających na europejskim rynku cyfrowym.
