Autoriteit Persoonsgegevens geeft Uber boete van 825 miljoen euro

De Autoriteit Persoonsgegevens (AP) heeft taxi-app Uber een boete van 825 miljoen euro gegeven. Reden is het opheffen van de accounts van taxichauffeurs door middel van geautomatiseerde systemen, zonder dat de betreffende chauffeurs hierover adequaat werden ingelicht. Het zou gaan om accounts van taxichauffeurs die van fraude werden verdacht. Het Uber-systeem schakelde de accounts automatisch uit wanneer het stelde dat chauffeurs onnodig omreden om de ritprijs te verhogen of ritten hadden aangenomen zonder de bedoeling die ook uit te voeren.

Het is de op de één na hoogste AVG-boete in de Europese Unie tot nu toe. De hoogste AVG-boete ging in 2023 naar Meta. Aanleiding voor de boete van 1,2 miljard euro was het uitwisselen van persoonlijke gegevens met de Verenigde Staten op basis van een modelcontract. Uber heeft aangegeven tegen de boete in beroep te gaan, zo laat het bedrijf tegenover persbureau Reuters weten. Verdere details zijn op dit moment niet bekend.

Het is niet de eerste keer dat de AP een boete aan Uber uitdeelt. De taxi-app kreeg in 2018 een boete van 600.000 euro wegens het te laat melden van een datalek in 2016. Begin 2024 volgde een boete van 10 miljoen euro omdat de taxi-app onvoldoende openheid van zaken gaf over hoe lang het bedrijf gegevens van Europese chauffeurs bewaarde en naar welke landen buiten Europa deze werden doorgestuurd.

In augustus 2024 kwam de Autoriteit Persoonsgegevens met een boete van 290 miljoen euro wegens het doorgeven van de persoonsgegevens van Europese taxichauffeurs naar de Verenigde Staten waarbij deze gegevens onvoldoende werden beschermd. Tegen beide miljoenenboetes ging Uber in beroep.

Dit zijn zakcentjes AP, boetes moeten BOETES zijn. Maar chapo, tenminste wat uitgevoerd.. dat is een lange tijd geleden :)

dus uber ontsloeg oplichtende taxi chaufs die hun klanten flesten en het bedrijf in discrediet brengen en het AP vindt dat niet tof?

Ik geloof er niet meer in. De rechter zal Uber gelijk geven of de boete minimaliseren tot iets wat totaal geen pijn doet. Daarbij is de AP er om Nederlandse wetgeving te borgen, niet de Europese. Je kan de AP net zo goed meteen opheffen. Het heeft totaal geen zin. En zoals meneer van 't Hek ooit zei, moet je stoppen met dingen die geen zin hebben.
Het is niet eens omdat de mensen van het AP hun best niet doen, maar het werkt gewoon niet, zeker niet met het kruideniersbedrag waarmee ze het moeten doen.

Door Anoniem: dus uber ontsloeg oplichtende taxi chaufs die hun klanten flesten en het bedrijf in discrediet brengen en het AP vindt dat niet tof?

Natuurlijk, zo kennen we de dikastrocaten toch ?

Door Anoniem: dus uber ontsloeg oplichtende taxi chaufs die hun klanten flesten en het bedrijf in discrediet brengen en het AP vindt dat niet tof?

Automatische beslissingen zonder kennisgeving vooraf zijn verboden volgens de AvG. Dit ongeacht de wellicht terechte reden in deze casus.

Door Anoniem: Dit zijn zakcentjes AP, boetes moeten BOETES zijn. Maar chapo, tenminste wat uitgevoerd.. dat is een lange tijd geleden :)

Toch weer 825 miljoen om de staatskas te vullen en door de gulle parlementariërs uit te delen aan de stokpaardjes milieu en asiel.

P.s. na beroep zal er wel een paar honderd miljoenen vanaf gaan.

De beslissing was allang gemaakt, dit is een automatische uitvoering.

Door Anoniem: dus uber ontsloeg oplichtende taxi chaufs die hun klanten flesten en het bedrijf in discrediet brengen en het AP vindt dat niet tof?

Chauffeurs die verdacht werden van fraude. Bij een verdenking weet je het nog niet zeker, een verdenking is geen veroordeling, en dan is zorgvuldigheid geboden. Dit gaat niet om het beschermen van fraudeurs, dit gaat om een goede manier van oordelen of iemand wel echt een fraudeur is.

De AVG raakt maar aan één onderdeeltje daarvan, namelijk het recht van een mens op beoordeling door een mens. Er zullen ook andere wetten gelden hiervoor; contractrecht, arbeidsrecht wellicht.

Nogmaals: dit gaat niet om het beschermen van fraudeurs, echte fraudeurs kunnen er nog net zo hard uit geknikkerd worden, het gaat er hier om dat het beoordelingsproces niet uitsluitend geautomatiseerd is maar dat ieder mens er recht op heeft dat een mens beoordeelt of dat wel allemaal goed is gegaan. Als dat wordt overgeslagen weet Uber niet eens zeker of die fraudeur wel werkelijk een fraudeur is. Als Uber zichzelf in een positie plaatst waarin het domweg nooit op foute uitkomsten van het eigen systeem gewezen wordt dan weet het dus ook niet of het systeem wel altijd goed werkt. Dit beschermt de mensen die een onjuist oordeel voor hun kiezen krijgen en die daar grote gevolgen van ondervinden. Het geeft de chauffeurs er recht op dat er ook nog een mens naar kijkt voor ze bijvoorbeeld naar de rechter stappen. Als Uber daar met de pet naar gooit wordt de rechterlijke macht onnodig belast met onzinnige zaken die prima zonder rechter af te handelen waren geweest.

Dat Uber een bedrijf is en als bedrijf belangen heeft vaagt niet alle andere belangen en afwegingen tussen belangen weg. Ze kiezen er zelf voor om met een hele menigte chauffeurs te werken. Als ze met mensen werken hebben ze ook te voldoen aan de regels die daarvoor gelden. Willen ze dat niet? Dan zijn ze geen haar beter dan die fraudeurs.

Door Anoniem: Daarbij is de AP er om Nederlandse wetgeving te borgen, niet de Europese.

Dat klopt niet, de AVG is Europese wetgeving.

Mocht je een van de vele mensen zijn die denkt dat de GDPR de Europese wetgeving is en de AVG de Nederlandse: dat klopt niet, het is precies dezelfde wet en in beide talen even Europees. De EU publiceert alles in 24 Europese talen, en al die versies zijn officiëel gelijkwaardig aan elkaar (al zijn er ze ongetwijfeld wel eens misverstanden over mogelijk). Er is simpelweg niet één Europese taal, en geen enkele lidstaat zou het pikken om qua taal achtergesteld te worden bij andere lidstaten.

Dan krijg je ook dat de titels boven allerlei wetten en richtlijnen in verschillende talen meevertaald worden en dat de afkortingen daarvan dus ook per taal verschillen. GDPR staat voor "General Data Protection Regulation", AVG staat voor "Algemene Verordening Gegevensbescherming". "General"="algemene"; "data protection"="gegevensbescherming"; "regulation"="verordening". En als je de complete wetteksten naast elkaar legt dan zie je dat ook dat het hetzelfde in twee talen is.

Hier zie je op een EU-site de 24 talen waarin de AVG gepubliceerd is in een overzichtje staan, en je kan er tot 3 tegelijk selecteren om naast elkaar te leggen:
https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679

Maar nu naar de rechter, dan kan de AP weer niet uitleggen waar de aanklacht over gaat en wordt de boete 0 + proceskosten uber vergoeden?

Bijna goed: de Autoriteit Persoonsgegevens handhaaft de “Uitvoeringswet Algemene verordening gegevensbescherming”. Dit is een Nederlandse wet die de Europese AvG “aanvult” voor wat betreft de derogaties. Zo stelt de EU AvG bijvoorbeeld de leeftijd voor “Voorwaarden voor de toestemming van kinderen met betrekking tot diensten van de informatiemaatschappij” vrij vanaf 13 jaar en mag er per lidstaat een aparte invulling worden gedaan. In Nederland is deze 16 jaar en in België 13 jaar. Tot zover één Europese wet. Deed de digitale omnibus hier maar iets aan.

Door Anoniem: Bijna goed: de Autoriteit Persoonsgegevens handhaaft de “Uitvoeringswet Algemene verordening gegevensbescherming”. Dit is een Nederlandse wet die de Europese AvG “aanvult” voor wat betreft de derogaties. Zo stelt de EU AvG bijvoorbeeld de leeftijd voor “Voorwaarden voor de toestemming van kinderen met betrekking tot diensten van de informatiemaatschappij” vrij vanaf 13 jaar en mag er per lidstaat een aparte invulling worden gedaan. In Nederland is deze 16 jaar en in België 13 jaar. Tot zover één Europese wet. Deed de digitale omnibus hier maar iets aan.

Dat de uAVG Nederlands is doet helemaal niets af aan dat de AVG Europees is. Wat ik schreef ging daarover, en dat is niet "bijna goed" maar gewoon goed.

Het voorbeeld dat je aanhaalt staat in de AVG (artikel 8) als een leeftijdsgrens van 16 jaar, met de ze toevoeging: "De lidstaten kunnen dienaangaande bij wet voorzien in een lagere leeftijd, op voorwaarde dat die leeftijd niet onder 13 jaar ligt." De AVG stelt dus uitdrukkelijk de afwijking van de algemene regel toe en stelt er grenzen aan.

Dat is, voor zover ik begrepen heb, gebeurd op die punten waar het niet lukte om het voor de hele EU gelijk te trekken. En als Europese wetgeving boven nationale gaat kan dat alleen maar werken als in EU-wetgeving ook uitdrukkelijk vermeld wordt dat die afwijking mogelijk is. Staat het er niet in dat dat kan dan geldt de Europese wet. Dan kan je in de AVG zelf lezen waar afwijkingen mogelijk zijn, en hoe ver die kunnen gaan.

Bij dit voorbeeld vermoed ik dat België niet akkoord is gegaan met die 16 jaar en dat daarom die uitzondering mogelijk gemaakt moest worden. Misschien geldt dit voor meer landen, dat overzie ik niet. Belangrijk is dat je in de AVG zelf ziet staan dat de afwijking mogelijk is. De AVG wijst je dus zelf op waar extra uitzoekwerk nodig is. Het geeft in dit geval een bandbreedte aan waar een land binnen moet vallen, en elk land dat dat daarbinnen valt voldoet op dat punt aan de AVG. Het geeft ook aan dat er een defaultwaarde is (16 jaar) en dat een land in eigen wetgeving moet aangeven wat de afwijking is als die er is. Dat levert nog steeds geen afwijkingen van de AVG op, want die staat dat uitdrukkelijk toe. Een land moet wel binnen de aangegeven grenzen blijven.

Wat je inbracht haalt totaal niet onderuit dat de AVG een Europese wet is, een EU-wet. De UAVG is er om op die punten waar inpassing in onze eigen wetgeving nodig is aan te geven hoe dat gebeurt. De Nederlandse UAVG heeft het niet over die leeftijdsgrens, als ik het goed zie, zodat die op 16 staat bij ons. De Belgische tegenhanger van de UAVG zal expliciet benoemen dat ze 13 jaar ervoor hanteren. Dat valt beide binnen de AVG.