Op 8 mei heeft de Autoriteit Persoonsgegevens (AP) het besluit op bezwaar gepubliceerd in de procedure tegen Uber Technologies Inc. en Uber B.V (gezamenlijk Uber). Het besluit betreft de uitkomst van het door Uber ingediende bezwaar tegen de opgelegde boete van € 10 miljoen voor overtredingen door Uber van de AVG op 11 december 2023. De boete heeft betrekking op twee overtredingen. 

In de eerste plaats heeft de AP vastgesteld dat Uber het recht op inzage van chauffeurs onvoldoende heeft gefaciliteerd. Uber verstrekte persoonsgegevens uitsluitend in CSV‑bestanden zonder toelichting en instructies op de structuur weergave en daarvan. Daarnaast werden essentiële toelichtingen op de CSV-bestanden (“guidance notes”) uitsluitend in het Engels aangeboden, terwijl de doelgroep (onder andere) Franse chauffeurs voor Uber betrof. Mede gelet op de taalvaardigheid van de betrokken doelgroep voldoet deze informatievoorzieningswijze voldoet niet aan de vereisten dat informatie beknopt, transparant, begrijpelijk en gemakkelijk toegankelijk moet zijn, aldus de AP.

In de tweede plaats concludeert de AP dat Uber haar transparantieverplichtingen niet heeft nageleefd. De privacyverklaringen bevatten onvoldoende concrete informatie over de doorgifte van persoonsgegevens aan derde landen, de bewaartermijnen en het bestaan van het recht op gegevensoverdraagbaarheid. De algemene stelling van Uber dat persoonsgegevens worden bewaard “zolang dit noodzakelijk is voor bepaalde doeleinden” is te vaag en belemmert de betrokkene in de mogelijkheid om de bewaartermijn vast te kunnen stellen of de rechtmatigheid daarvan te toetsen, aldus de AP. Met name het ontbreken van specifieke informatie over de landen van doorgifte en de daarbij behorende waarborgen acht de AP strijdig met het behoorlijkheids‑ en transparantiebeginsel, omdat betrokkenen daardoor geen effectieve controle konden uitoefenen over hun persoonsgegevens. Het verstrekken van informatie over het land waarnaar persoonsgegevens worden doorgegeven is essentieel om de regie over zijn eigen gegevens te behouden en kan zelfs van cruciaal belang zijn voor chauffeurs om veiligheidsrisico’s in specifieke landen te vermijden, aldus de AP.

De AP verwerpt de door Uber aangevoerde bezwaargronden, waaronder het beroep op het lex certa‑beginsel, het ontbreken van verwijtbaarheid en de gestelde onevenredigheid van de boete. Met verwijzing naar artikel 83 AVG en recente rechtspraak van het Hof van Justitie concludeert de AP dat van een professionele, internationaal opererende onderneming als Uber verwacht mag worden dat deze hun gegevensverwerkingen AVG‑conform inrichten. Bij de boetebepaling is uitgegaan van de wereldwijde jaaromzet van Uber als economische eenheid, waarbij de opgelegde boete ruim onder het wettelijke maximum blijft van € 1,19 miljard, ofwel 4 % van de wereldwijde omzet van Uber in 2022.

Het besluit bevestigt dat toezichthouders hoge eisen stellen aan de praktische, duidelijke en begrijpelijke informatievoorziening en het faciliteren van de uitoefening van de rechten door betrokkenen, met name in de context van digitale platformomgevingen.