Une amende à 290 millions d'euros contre Uber

L’autorité néerlandaise de protection des données (AP) a pris une décision lourde de conséquences pour Uber. Ce lundi, elle a annoncé avoir infligé une amende de 290 millions d’euros à l’entreprise pour avoir transféré des données personnelles de chauffeurs européens vers les États-Unis sans garantir les protections exigées par le RGPD. Selon l’AP, ces transferts ont concerné des informations sensibles, comme des licences de taxi, des données de localisation, des photos, des détails de paiement, des documents d'identité, et même, dans certains cas, des données pénales et médicales.

Le président de l’AP, Aleid Wolfsen, a qualifié la situation de « très grave », soulignant qu'Uber n’avait pas assuré le niveau de protection requis par le RGPD. « La société a transféré ces données au siège social d'Uber aux États-Unis pendant plus de deux ans, sans utiliser d’outil de transfert conforme », a précisé l'autorité. En conséquence, la protection des données personnelles des chauffeurs n’était pas suffisante, une lacune que le régulateur a jugée inacceptable.

Cette sanction marque la troisième fois que l'AP sanctionne Uber. L’entreprise avait déjà écopé d’amendes de 600.000 euros en 2018 et de 10 millions d’euros en 2023, cette dernière faisant toujours l’objet d’un appel.

Uber n’a pas tardé à réagir, qualifiant l’amende de « totalement injustifiée ». Dans un communiqué, une porte-parole de l'entreprise a déclaré que « le processus de transfert transfrontalier de données d'Uber était conforme au RGPD pendant la période de trois ans caractérisée par une immense incertitude entre l'UE et les États-Unis ». La société a annoncé qu'elle ferait appel de cette décision, affirmant rester « confiante dans le fait que le bon sens prévaudra ».

L’amende infligée à Uber s’inscrit dans un contexte plus large de régulation accrue des grandes entreprises technologiques en Europe. Le RGPD, entré en vigueur en 2018, impose des règles strictes aux entreprises qui traitent des données personnelles dans l'Union européenne, en particulier lorsqu’il s'agit de transferts de données vers des pays tiers. Selon ce règlement, les entreprises doivent prendre des mesures supplémentaires pour garantir la protection des données des citoyens européens, en particulier lorsque ces données sont stockées ou traitées en dehors de l'UE.

L'AP a lancé son enquête après avoir reçu une plainte de plus de 170 chauffeurs en France, en collaboration avec la Commission nationale de l'informatique et des libertés (CNIL). Bien qu'Uber ait depuis corrigé la situation, l'affaire souligne la vigilance accrue des régulateurs européens vis-à-vis des pratiques des géants de la technologie.

Cette amende record pourrait servir de signal fort aux autres entreprises qui traitent des données personnelles en Europe, les incitant à renforcer leurs mesures de conformité avec le RGPD pour éviter de lourdes sanctions. En attendant l'issue de l'appel d'Uber, cette décision représente un coup dur pour l'entreprise, dont la réputation en matière de protection des données continue d'être mise à mal.