Par Haas Avocats
Deuxième round cette année dans la saga Uber VS les autorités de régulation européennes.
En effet, si en janvier dernier, l’autorité de régulation avait déjà sanctionné le géant d’une amende de 10 millions d’euros en raison de manquements aux obligations de transparence et d’information prévues par le RGPD, cette fois-ci, en coopération avec la CNIL française, l’autorité de régulation néerlandaise a prononcé une amende de 290 millions d’euros pour manquement aux obligations de garanties liées aux transferts de données hors UE.
A la suite d’une plainte collective déposée par la « Ligue des Droits de l’Homme », l’entreprise étant située aux Pays-Bas, c’est l’autorité néerlandaise qui a donc eu la charge de la procédure.
L’autorité néerlandaise, en sa qualité de chef de file[1] a constaté qu’Uber collectait un grand nombre de données concernant des chauffeurs établis en Europe et les transférait aux Etats-Unis. On peut parler d’amende record pour l’autorité de régulation néerlandaise, c’est la première fois qu’elle impose une sanction aussi importante.
Pour justifier ce montant, plusieurs paradigmes entrent en jeu :
Uber fait face à une plainte après plusieurs procédures
Elle rappelle d’abord que la plainte portait sur deux procédures distinctes :
- L’entreprise n’a pas respecté les obligations de transparence quant à l’accès et la durée de conservation des données concernant ses chauffeurs européens.
- Le transfert des données vers les Etats-Unis n’a pas respecté les obligations du RGPD en matière de transfert de données.
Des données sensibles et hautement personnelles concernées
Ces données étaient au demeurant plutôt sensibles, tant elles portaient sur des informations concernant les chauffeurs telles que :
- leurs numéros de licence ;
- leurs données de localisation ;
- des photos ;
- des données de paiement ;
- des documents d’identité ;
- des données liées à leur état de santé ;
- leur casier judiciaire.
Pourtant, rappelons que les données relatives à la santé et aux condamnations judiciaires sont soumises à des modalités de traitement spécifiques et strictement encadrées.
Uber en récidive : Sanction renforcée et avertissement pour les Géants du Numérique
Si cette sanction est particulièrement élevée, c’est aussi parce que la société Uber a déjà fait l’objet de plusieurs enquêtes de la part des autorités de régulation et serait considérée comme un « mauvais élève » en matière de conformité.
En 2018, Uber avait été sanctionnée à deux reprises pour un montant de 600 000 euros et de 435 000 euros pour ne pas avoir informé les autorités à la suite d’une fuite de données touchant 57 millions d’utilisateurs dans le monde. Si ces sanctions provenaient des autorités de régulation anglaises et néerlandaises, elle a également été sanctionnée pour les mêmes raisons par la CNIL, pour un montant de 400 000 euros.
Cette nouvelle amende record de 290 millions d'euros marque une étape décisive dans la lutte des autorités de régulation européennes contre les géants du numérique. Uber, déjà épinglée par le passé, voit son historique de manquements au RGPD lourdement sanctionné, illustrant la fermeté accrue des régulateurs face aux violations répétées des droits à la protection des données personnelles.
Ce cas souligne aussi l'importance croissante de la coopération entre les différentes autorités européennes, comme la CNIL et son homologue néerlandaise, pour garantir que les entreprises respectent les normes strictes imposées par l'UE, notamment en matière de transfert de données hors Europe.
Face à cette sanction exemplaire, les entreprises du secteur doivent prendre conscience des risques juridiques et financiers qu’elles encourent si elles continuent de négliger les droits fondamentaux des citoyens européens.
***
Si vous souhaitez bénéficier d’un accompagnement personnalisé : le cabinet HAAS Avocats est spécialisé depuis plus de vingt-cinq ans en droit des nouvelles technologies et de la propriété intellectuelle. Il accompagne de nombreux acteurs du numérique dans le cadre de leurs problématiques judiciaires et extrajudiciaires relatives au droit de la protection des données. Dans un monde incertain, choisissez de vous faire accompagner par un cabinet d’avocats fiables. Pour nous contacter, cliquez ici.
[1]Article 60 du RGPD
Par exemple, La CNIL est autorité chef de file pour les traitements transfrontaliers mis en œuvre par les organismes (i) qui disposent de plusieurs établissements dans l’Union européenne et dont le siège social est situé en France, si cet établissement décide des finalités et des moyens du traitement transfrontalier ; ou (ii) qui disposent de plusieurs établissements dans l’Union européenne, dont le siège social ne décide pas des finalités et des moyens du traitement transfrontalier, mais dont l’établissement qui prend ces décisions est situé en France ; ou (iii) qui disposent d’un établissement unique dans l’Union européenne, situé en France.
