La Autoridad Holandesa de Protección de Datos (AP) ha impuesto una multa de nada menos que 290 millones de euros al servicio de taxi Uber, la multa por privacidad más alta jamás impuesta en los Países Bajos.
Esta decisión sigue a graves violaciones del Reglamento General de Protección de Datos (GDPR), donde Uber transfirió datos personales de conductores europeos a los Estados Unidos sin la protección requerida. Según AP, Uber movió descuidadamente los datos personales de miles de conductores de la Unión Europea a servidores en Estados Unidos. Esto sucedió sin las salvaguardias adecuadas, dejando los datos vulnerables al acceso no autorizado y al uso indebido. El regulador destaca que Uber ha actuado en violación del RGPD, que impone normas estrictas para la protección de datos personales, especialmente cuando se transfieren a países fuera del Espacio Económico Europeo (EEE).
garantías
El AP establece su informe que Uber no ha implementado suficientes medidas técnicas y organizativas para garantizar la seguridad de los datos. “Esta es una grave violación de la privacidad de los ciudadanos europeos”, afirmó el presidente de AP. “Las empresas que operan en Europa deben cumplir normas estrictas diseñadas para proteger la privacidad de nuestros ciudadanos. La multa refleja la gravedad del delito y debería enviar un mensaje claro a todas las empresas que creen que pueden actuar sin consecuencias”.
"En Europa, el RGPD protege los derechos fundamentales de las personas al exigir que las empresas y los gobiernos manejen los datos personales con cuidado", dice el presidente de AP, Aleid Wolfsen. Pero desgraciadamente esto no es evidente fuera de Europa. Pensemos en los gobiernos que pueden aprovechar los datos a gran escala".
Según AP, Uber recopiló diversos datos confidenciales de los conductores durante un período de más de dos años y los almacenó en servidores en Estados Unidos. Esto no solo se refería a los detalles de la cuenta y las licencias de taxi, sino también a los datos de ubicación, fotografías, detalles de pago e identificaciones. Lo que hace que el caso sea aún más grave es que Uber también transfirió datos médicos y penales de conductores a EE. UU., sin utilizar una herramienta de transferencia adecuada. Esto podría exponer los datos a riesgos como el acceso no autorizado y el uso indebido.
La AP jueces que Uber ha violado gravemente el Reglamento General de Protección de Datos (GDPR), que establece requisitos estrictos para la protección de datos personales. La ley exige que cuando los datos de ciudadanos de la UE se transfieran a países fuera del Espacio Económico Europeo (EEE), se deben tomar medidas adecuadas para proteger los datos. Esto se puede hacer, por ejemplo, utilizando cláusulas contractuales estándar u otras herramientas de transferencia aprobadas por la Comisión Europea. En el caso de Uber faltaron estas medidas, lo que generó graves deficiencias en la protección de datos personales.
discusión
La batalla legal que podría seguir ahora podría llamar la atención sobre una discusión más amplia sobre el cumplimiento de la privacidad por parte de las principales empresas internacionales. Los expertos señalan que esta no es la primera vez que Uber es criticada por su manejo de las cuestiones de privacidad. En 2018, la AP multó a la empresa con 600.000 euros debido a una violación de datos en 2016 en la que quedaron expuestos los datos de 57 millones de usuarios, incluidos 174.000 holandeses. Este nuevo incidente refuerza las preocupaciones sobre cómo las empresas de tecnología gestionan la privacidad de sus usuarios y plantea dudas sobre la eficacia de las regulaciones actuales.
La AP inició una investigación sobre Uber después de que más de 170 conductores franceses presentaran una denuncia ante la Ligue des droits de l'Homme (LDH), un grupo francés de defensa de los derechos humanos. Luego, LDH presentó una queja ante el regulador de privacidad francés.
La Unión Europea ha endurecido sus leyes de protección de datos en los últimos años, siendo el RGPD una de las medidas más drásticas. El RGPD exige que las empresas tomen precauciones estrictas al procesar datos personales e impone fuertes multas por infracciones.
EER
El fallo de la AP también podría tener implicaciones más amplias para otras empresas de tecnología activas en Europa. Las empresas que procesan datos de ciudadanos de la UE deben asegurarse de que cumplen con el RGPD, incluso cuando estos datos se transfieran a países fuera del EEE. Este incidente resalta la importancia de contar con medidas de seguridad sólidas y la necesidad de ser transparente sobre cómo se gestionan y protegen los datos.
Aunque Uber se opone a la multa, hay muchas posibilidades de que sea una batalla legal larga. Si la multa se mantiene, podría sentar un precedente para futuras acciones coercitivas contra otras empresas que no cumplan con el RGPD. El resultado de este caso será observado con gran interés tanto por la industria tecnológica como por los activistas de la privacidad.
