Afgelopen maandag deelde de Autoriteit Persoonsgegevens (AP) de grootste AVG- boete in de Nederlandse geschiedenis uit. Aanleiding was een groot aantal klachten van Franse Uber-chauffeurs aan het mensenrechtencollege in Frankrijk. Uber B.V. zou in haar gegevensuitwisseling met de Amerikaanse tak van het bedrijf de gegevens van Europese burgers onvoldoende hebben beschermd. In dit artikel gaan we in op de inhoud en slagingskans van het bezwaar op de boete met techjurist Menno Weij van BDO Legal.
Europese gegevens die in het buitenland worden verwerkt moeten op grond van de AVG even goed beschermd worden als in de EU. Om deze reden moeten bedrijven zoals Uber gebruik maken van een doorgiftemechanisme dat de veiligheid van de gegevens moet borgen.
Uber maakte volgens de AP geen gebruik van een dergelijk doorgiftemechanisme terwijl dit wel is vereist, gezien het feit dat Uber de gegevens ook (direct) verwerkt in de Amerikaanse vestiging van Uber.
Experts menen echter dat de kwestie weinig te maken heeft met een materiele schending van de AVG, maar eerder met een interpretatie van een verklaring van de Europese Commissie over Standard Contractual Clauses (SCC’s). Volgens Menno Weij gaat het om een principiële, formele kwestie, en niet zozeer om een inhoudelijke schending dat Uber te weinig maatregelen en/of waarborgen zou hebben getroffen om de gegevens van de Franse chauffeurs in Amerika te beschermen.
De vraag is of Uber gebruik moest maken van een doorgiftemechanisme in de periode van 9 augustus 2021 tot heden. Uber stelt namelijk dat zij aan de hand van een verklaring van de EC mocht aannemen dat de Standaard Contractuele Clausules (SCC) niet nodig waren in het geval dat de verantwoordelijke, in dit geval Uber’s Amerikaanse tak, direct gebonden is aan de AVG op grond van artikel 3 AVG. Artikel 3 AVG bepaalt namelijk dat de Amerikaanse tak van Uber direct gebonden is aan de AVG omdat het bedrijf Europese persoonsgegevens verwerkt. Daarbij komt de verklaring van de EC die stelt dat SCC’s niet van toepassing kunnen zijn voor importeurs, in dit geval Uber’s Amerikaanse tak, die onder de strekking van artikel 3 AVG vallen. De SCC’s zouden in dit geval namelijk veel van de regels die uit de AVG voortvloeien herhalen of daarvan afwijken. De Commissie benoemt in diezelfde alinea overigens ook dat zij bezig is met een SCC “light” die ziet op de omstandigheid dat de importeur ook gebonden is o.g.v. artikel 3 AVG.
Ondanks deze verklaring van de EC kon Uber volgens de AP niet aannemen dat zij geen gebruik hoefde te maken van enig doorgiftemechanisme. Hoofdstuk 5 van de AVG vereist immers dat de bedrijven een doorgiftemechanisme gebruiken wanneer Europese persoonsgegevens in het buitenland worden verwerkt. Uber heeft aangegeven in bezwaar te gaan tegen de boete. Weij vermoedt dat Uber op dit punt duidelijkheid wenst te krijgen vanuit de rechter.
Weij verwacht dat de rechter zal oordelen dat Uber wel íets had moeten doen met het doorgifte -mechanisme (en dus niet “niets”), maar ook dat de boete van 290 miljoen als te hoog zal worden beschouwd.
