Uber heeft vanuit zijn kantoor in Amsterdam privacygevoelige gegevens over zijn chauffeurs gedeeld met opsporingsdiensten buiten de Europese Unie, zoals namen, foto’s, taxilicenties en locatiedata. Dat schrijven De Groene Amsterdammer, Trouw, het Financieele Dagblad en onderzoeksplatform Investico maandag. Daarmee handelde Uber volgens experts in strijd met de privacywet.
De documenten die Investico in handen kreeg dateren uit de periode 2014-2018. Uit de documenten blijkt onder meer dat Uber in 2018 vrijwillig lijsten met alle ritten, persoonsgegevens en inkomsten van een chauffeur deelde met het Colombiaanse openbaar ministerie. Ook beheert het bedrijf een online portaal waarop opsporingsdiensten een informatieverzoek kunnen indienen. Dat Uber de gegevens vrijwillig beschikbaar stelde, was volgens Investico onderdeel van een lobby om de relatie met overheden te verbeteren.
Bedrijven in de EU mogen persoonsgegevens in principe niet buiten de EU verplaatsen. Vorige week legde de Nederlandse Autoriteit Persoonsgegevens Uber om precies deze reden nog een boete van 290 miljoen euro op, de hoogste uit de geschiedenis van de autoriteit. Uber had gegevens over zijn chauffeurs tussen 2021 en 2023 op servers in de Verenigde Staten bewaard.
Strenge voorwaarden
De privacywet staat het in uitzonderlijke gevallen toe om persoonsgegevens buiten de EU te delen, maar alleen onder strenge voorwaarden, zegt Nadia Benaissa, expert gegevensbescherming bij burgerrechtenorganisatie Bits of Freedom. Zo kan het OM van een niet-EU-land – bijvoorbeeld Colombia – een zogeheten rechtshulpverzoek indienen bij justitie in Nederland. Die kan de gegevens vervolgens opvragen bij het betreffende bedrijf.
Lees ook
Uber-klokkenluider Mark MacGann: ‘Nederland, was dit het nou echt waard?’
Van zo’n verzoek was echter geen sprake toen Uber in 2018 gegevens deelde met het Colombiaanse OM. En dat is een probleem, zegt Benaissa. „Gegevens mogen alleen worden gedeeld als daar een juridische basis voor is. Het is niet aan Uber om te beoordelen wanneer dat het geval is. Er is een reden dat de wet die taak bij opsporingsinstanties neerlegt, en niet bij een taxibedrijf.”
Ook de AP laat desgevraagd weten dat een bedrijf „natuurlijk nooit zelf beleid kan maken om data te delen.” De Autoriteit wil niet inhoudelijk op de zaak ingaan, maar zegt wel: „Ook als er wel rechtmatig persoonsgegevens worden gedeeld, hebben de mensen over wie het gaat het recht om dat te weten.”
Uber reageerde niet op een verzoek om commentaar van NRC. Tegenover Investico ontkende het bedrijf de Europese privacywet te overtreden. Het bedrijf beheert de gegevens van zijn chauffeurs tegenwoordig vanuit San Francisco, waardoor het niet meer gebonden is aan de Europese privacywet.