UBER: 290 millions d’euros à l’encontrepour transferts non autorisé de données hors UE

L’essentiel : Le 22 juillet 2024, l’autorité néerlandaise de protection des données a infligé une amende de 290 millions d’euros à UBER B.V. et UBER TECHNOLOGIES INC. pour avoir transféré des données personnelles en dehors de l’Union européenne sans garanties suffisantes. Cette décision fait suite à une plainte collective de l’association La Ligue des droits de l’Homme, représentant plus de 170 chauffeurs. Les investigations ont révélé que, entre août 2021 et novembre 2023, UBER a effectué des transferts de données vers les États-Unis sans respecter les exigences du RGPD, constituant ainsi une violation des droits des personnes concernées.

Amende de 290 millions d’euros contre UBER pour transfert de données personnelles

Le 22 juillet 2024, l’autorité néerlandaise de protection des données, en collaboration avec la CNIL, a infligé une amende de 290 millions d’euros aux sociétés UBER B.V. et UBER TECHNOLOGIES INC. pour avoir transféré des données personnelles en dehors de l’Union européenne sans garanties suffisantes.

Présentation des sociétés UBER

UBER se compose de deux entités : UBER B.V., une société néerlandaise basée à Amsterdam, et UBER TECHNOLOGIES INC., une société américaine dont le siège est à San Francisco. UBER est principalement connue pour sa plateforme qui met en relation des chauffeurs de VTC avec des utilisateurs.

Contexte de la plainte

La CNIL a reçu une plainte collective de l’association La Ligue des droits de l’Homme, représentant plus de 170 chauffeurs de la plateforme UBER. Cette plainte portait sur l’information des personnes concernées et les transferts de données personnelles en dehors de l’Union européenne. Le 11 décembre 2023, l’autorité néerlandaise avait déjà infligé une amende de dix millions d’euros à UBER pour plusieurs manquements relatifs à l’information des chauffeurs.

Coopération entre autorités de protection des données

Conformément aux procédures de coopération établies par le Règlement Général sur la Protection des Données (RGPD), l’autorité néerlandaise était compétente pour mener les investigations, UBER ayant son établissement principal aux Pays-Bas. La CNIL a collaboré étroitement avec l’autorité néerlandaise tout au long de la procédure, notamment lors des contrôles, de l’analyse des preuves et de l’examen du projet de décision dans le cadre de la procédure du guichet unique.

Les manquements constatés

À l’issue des investigations, l’autorité néerlandaise a constaté que les traitements de données personnelles des chauffeurs, pour lesquels UBER B.V. et UBER TECHNOLOGIES INC. sont responsables conjoints, impliquaient des transferts vers les États-Unis. Entre le 6 août 2021 et le 21 novembre 2023, date à laquelle UBER a été inscrit sur la liste du Data Privacy Framework (DPF), ces transferts n’ont pas été encadrés par des garanties appropriées, ce qui constitue un manquement à l’article 44 du RGPD.

Q/R juridiques soulevées :

Quelle amende a été infligée à UBER et pour quelle raison ?

L’autorité néerlandaise de protection des données, en collaboration avec la CNIL, a infligé une amende de 290 millions d’euros à UBER B.V. et UBER TECHNOLOGIES INC. le 22 juillet 2024.

Cette amende a été prononcée en raison du transfert de données personnelles en dehors de l’Union européenne sans garanties suffisantes.

Les autorités ont jugé que ces transferts constituaient une violation des règles de protection des données établies par le RGPD, qui exige des protections adéquates lors du transfert de données personnelles vers des pays tiers.

Quelles sont les entités qui composent UBER ?

UBER se compose de deux entités principales : UBER B.V. et UBER TECHNOLOGIES INC.

UBER B.V. est une société néerlandaise dont le siège est à Amsterdam, tandis qu’UBER TECHNOLOGIES INC. est une société américaine basée à San Francisco.

Ces deux entités sont responsables de la plateforme UBER, qui met en relation des chauffeurs de VTC avec des utilisateurs, facilitant ainsi le transport à la demande.

Quel est le contexte de la plainte contre UBER ?

La plainte contre UBER a été déposée par l’association La Ligue des droits de l’Homme, qui a représenté plus de 170 chauffeurs de la plateforme.

Cette plainte concernait principalement l’information des personnes concernées et les transferts de données personnelles en dehors de l’Union européenne.

Il est important de noter qu’auparavant, le 11 décembre 2023, l’autorité néerlandaise avait déjà infligé une amende de dix millions d’euros à UBER pour des manquements relatifs à l’information des chauffeurs.

Comment s’est déroulée la coopération entre les autorités de protection des données ?

La coopération entre les autorités de protection des données a été régie par le Règlement Général sur la Protection des Données (RGPD).

L’autorité néerlandaise a été compétente pour mener les investigations, car UBER a son établissement principal aux Pays-Bas.

La CNIL a collaboré étroitement avec l’autorité néerlandaise tout au long de la procédure, notamment lors des contrôles, de l’analyse des preuves et de l’examen du projet de décision dans le cadre de la procédure du guichet unique.

Quels manquements ont été constatés lors des investigations ?

Les investigations menées par l’autorité néerlandaise ont révélé que les traitements de données personnelles des chauffeurs impliquaient des transferts vers les États-Unis.

Entre le 6 août 2021 et le 21 novembre 2023, ces transferts n’ont pas été encadrés par des garanties appropriées, ce qui constitue un manquement à l’article 44 du RGPD.

Ce manquement souligne l’importance de respecter les normes de protection des données lors des transferts internationaux, afin de garantir la sécurité et la confidentialité des informations personnelles.