L’autorité néerlandaise chargée de la protection des données, la DPA, annonce avoir prononcé à l’encontre d’Uber une amende de 290 millions d’euros pour avoir transféré des données personnelles hors UE sans garanties suffisantes. En application des procédures de coopération entre autorités instaurées par le règlement général sur la protection des données (RGPD), c'est elle qui était compétente pour mener les investigations sur ce dossier, la filiale européenne d'Uber étant installée aux Pays-Bas.

Après une enquête menée en coopération avec son homologue française la Cnil, la DPA a constaté que les traitements de données personnelles des chauffeurs font l'objet de transferts vers les États-Unis. Entre le 6 août 2021 et le 21 novembre 2023, date d'inscription d'Uber sur la liste du Data Privacy Framework (DPF), qui encadre désormais les transferts de données transatlantiques, ces transferts entre la filiale européenne et la maison-mère américaine "n'ont pas été encadrés par des garanties appropriées", ce qui constitue un manquement à l'article 44 du RGPD.

La DPA affirme avoir constaté qu'Uber avait collecté, entre autres, des informations sensibles de chauffeurs européens et les avait conservées sur des serveurs aux États-Unis. Il s'agissait " de données de compte et de licences de taxi, mais aussi de données de localisation, de photos, de détails de paiement, de documents d'identité et, dans certains cas, même de données criminelles et médicales des chauffeurs ".

La DPA a ouvert son enquête sur Uber après que plus de 170 chauffeurs français se sont plaints auprès de la Ligue des droits de l'Homme (LDH), qui a déposé une plainte auprès de la Cnil.

Uber a indiqué son intention de s'opposer à l'amende. Selon Reuters, le groupe dénonce une décision "biaisée" et une sanction "totalement injustifiée", assurant avoir respecté le RGPD durant trois ans "d'immense incertitude".