Otoritas Perlindungan Data Belanda (Autoriteit Persoonsgegevens, AP) telah mengenakan denda sebesar €290.000.000 ($325 juta) pada Uber Technologies Inc. dan Uber BV atas pelanggaran GDPR.
Otoritas tersebut menuduh Uber mentransfer data pribadi dari Area Ekonomi Eropa (EEA) ke server di Amerika Serikat tanpa perlindungan memadai, sebagaimana didefinisikan oleh Bab V Peraturan Perlindungan Data Umum.
Ini adalah ketiga kalinya Otoritas Perlindungan Data Belanda telah mengenakan denda administratif pada Uber.
Yang pertama adalah Denda €600.000 karena kontrol akses data yang buruk pada bulan November 2018. Yang kedua adalah Denda €10.000.000 dikenakan pada bulan Januari 2024 karena praktik pengelolaan data Uber yang tidak jelas tentang penanganan data dari subjek UE.
Investigasi AP terhadap praktik data Uber dipicu oleh keluhan dari pengemudi Prancis dan ditingkatkan ke AP oleh otoritas perlindungan data Prancis (CNIL).
Masalah ini muncul setelah Putusan Schrems II oleh Pengadilan Keadilan Uni Eropa membatalkan Perisai Privasi UE-AS karena standar perlindungan data yang tidak memadai di AS.
Meskipun ada putusan tersebut, Uber diduga terus mentransfer data pribadi ke AS tanpa menerapkan Klausul Kontrak Standar (SCC), atau perlindungan lainnya, sehingga melanggar Pasal 44 GDPR, yang mengamanatkan bahwa transfer data ke negara ketiga harus memastikan tingkat perlindungan yang setara seperti di UE.
Ini adalah pelanggaran yang sama yang menyebabkan Komisi Perlindungan Data Irlandia (DPC) menjatuhkan hukuman besar-besaran Denda $1,3 miliar di Meta (Facebook). Baru-baru ini, empat perusahaan didenda $1,1 juta oleh Otoritas Perlindungan Privasi Swedia (IMY) atas pelanggaran serupa yang disebabkan oleh penggunaan Google Analytics.
Tanggapan Uber
Uber berpendapat bahwa Bab V GDPR tidak berlaku karena Pasal 3 GDPR telah memperluas perlindungan peraturan tersebut ke aktivitas pemrosesan mereka di AS.
Selain itu, firma teknologi tersebut berpendapat bahwa tidak ada transfer data yang terjadi, sebagaimana didefinisikan dalam GDPR, karena pengemudi menyediakan data mereka langsung ke server Uber yang berbasis di AS melalui aplikasi.
AP menolak argumen tersebut dan melanjutkan untuk memberlakukan hukuman besar-besaran. Rincian lebih lanjut tentang investigasi AP dan keputusan akhir dapat ditemukan di dokumen pendukung.
Menanggapi permintaan kami untuk komentar, juru bicara Uber mengatakan kepada BleepingComputer bahwa mereka menganggap keputusan itu tidak dapat dibenarkan dan berencana untuk mengajukan banding atas keputusan tersebut.
“Keputusan yang cacat dan denda yang luar biasa ini sama sekali tidak dapat dibenarkan. Proses transfer data lintas batas Uber mematuhi GDPR selama periode ketidakpastian yang sangat besar selama 3 tahun antara UE dan AS. Kami akan mengajukan banding dan tetap yakin bahwa akal sehat akan menang.” – Juru bicara Uber
Uber menyatakan bahwa praktik penanganan datanya, sebagaimana tercantum dalam pemberitahuan privasimematuhi GDPR. Selain itu, perusahaan memandang aliran data antara pengguna dan pengguna serta Uber sebagai komponen mendasar dan inheren dari layanannya.
Proses banding dapat memakan waktu hingga 4 tahun, dan selama jangka waktu tersebut denda akan ditangguhkan.
