Эксперт адвокатского бюро Hedman по защите персональных данных Андрес Оявер пояснил, что компания Uber передала персональные данные европейских таксистов в США и не обеспечила меры защиты, предусмотренные GDPR.

"Инспекция по защите данных в Нидерландах начала расследование после того, как почти 200 водителей транспортных средств подали жалобу, и в ходе проверки были выявлены нарушения как при хранении, так и при передаче данных. Огромный штраф для Uber еще раз дает понять, насколько важно соблюдать правила GDPR при передаче персональных данных на международном уровне", – прокомментировал Оявер. Согласно оценке голландского органа по защите данных, это серьезное нарушение GDPR, и на решение о штрафе не повлиял тот факт, что нарушение было прекращено.

В 2023 году за аналогичное нарушение на компанию Meta также был наложен самый крупный штраф с момента введения GRPR в размере 1,2 млрд евро. Тогда материнскую компанию Facebook обвинили в передаче данных граждан Европейского союза Соединенным Штатам без должной защиты.

Был передан особый тип персональных данных

В решении о штрафе сообщается, что, помимо прочего, Uber собирал деликатные данные европейских таксистов и хранил их на серверах, расположенных в США.

"Например, была собрана и сохранена такая информация, как данные счета, копии удостоверяющих личность документов, лицензии на такси, данные о местоположении, фотографии и платежные реквизиты. В некоторых случаях Uber также знал данные о судимости и состоянии здоровья водителей, последние из которых представляют собой особый тип персональных данных", – отметил Оявер. Эти данные также передавались компанией Uber в свою штаб-квартиру в США на протяжении более двух лет.

В своем решении Инспекция по защите данных Нидерландов отметила, что, поскольку компания Uber не использовала стандартные условия контракта и другие защитные меры, предусмотренные GDPR с августа 2021 года, данные водителей из Евросоюза не были в достаточной степени защищены.

GDPR предусматривает максимальный штраф в размере 4% от годового мирового оборота компании, а оборот Uber в 2023 году составил примерно 34,5 млрд евро.

Согласно этому, сумма штрафа на этот раз значительна. Однако, для Uber это уже третий штраф, наложенный на них Инспекцией по защите данных Нидерландов", — сказал Оявер. Uber был оштрафован на 600 000 евро в 2018 году и на 10 млн евро – в 2023 году. В свою очередь, компания Uber заявила о намерении оспорить рекордный штраф.

Оявер объяснил, что в Европе GDPR защищает фундаментальное право людей на неприкосновенность частной жизни, требуя от компаний и государственных органов бережного обращения с персональными данными.

"К сожалению, неприкосновенность частной жизни не является очевидным правом за пределами Европы. Например, правительственные учреждения некоторых других стран могут довольно легко получить доступ к персональным данным в больших масштабах. Поэтому компании обязаны принимать дополнительные меры, если они хранят персональные данные европейцев за пределами Евросоюза или Европейской экономической зоны", — подчеркнул эксперт и добавил, что надзорные органы ЕС готовы решительно действовать для защиты основных прав своих граждан.

"Например, для эстонских компаний также очень важно знать, будут ли и в каком объеме персональные данные их клиентов передаваться за пределы Евросоюза, и будут ли в такой ситуации применяться меры защиты, соответствующие правилам GDPR", – заключил Оявер.