Amende de 290 millions d’euros contre UBER pour transfert de données personnelles

Le 22 juillet 2024, l’autorité néerlandaise de protection des données, en collaboration avec la CNIL, a infligé une amende de 290 millions d’euros aux sociétés UBER B.V. et UBER TECHNOLOGIES INC. pour avoir transféré des données personnelles en dehors de l’Union européenne sans garanties suffisantes.

Présentation des sociétés UBER

UBER se compose de deux entités : UBER B.V., une société néerlandaise basée à Amsterdam, et UBER TECHNOLOGIES INC., une société américaine dont le siège est à San Francisco. UBER est principalement connue pour sa plateforme qui met en relation des chauffeurs de VTC avec des utilisateurs.

Contexte de la plainte

La CNIL a reçu une plainte collective de l’association La Ligue des droits de l’Homme, représentant plus de 170 chauffeurs de la plateforme UBER. Cette plainte portait sur l’information des personnes concernées et les transferts de données personnelles en dehors de l’Union européenne. Le 11 décembre 2023, l’autorité néerlandaise avait déjà infligé une amende de dix millions d’euros à UBER pour plusieurs manquements relatifs à l’information des chauffeurs.

Coopération entre autorités de protection des données

Conformément aux procédures de coopération établies par le Règlement Général sur la Protection des Données (RGPD), l’autorité néerlandaise était compétente pour mener les investigations, UBER ayant son établissement principal aux Pays-Bas. La CNIL a collaboré étroitement avec l’autorité néerlandaise tout au long de la procédure, notamment lors des contrôles, de l’analyse des preuves et de l’examen du projet de décision dans le cadre de la procédure du guichet unique.

Les manquements constatés

À l’issue des investigations, l’autorité néerlandaise a constaté que les traitements de données personnelles des chauffeurs, pour lesquels UBER B.V. et UBER TECHNOLOGIES INC. sont responsables conjoints, impliquaient des transferts vers les États-Unis. Entre le 6 août 2021 et le 21 novembre 2023, date à laquelle UBER a été inscrit sur la liste du Data Privacy Framework (DPF), ces transferts n’ont pas été encadrés par des garanties appropriées, ce qui constitue un manquement à l’article 44 du RGPD.