Multa a Uber por no garantizar la protección de datos de sus conductores

Multa a Uber por no garantizar la protección de datos de sus conductores

Contexto del caso 

En los últimos años, las plataformas de transporte VTC han revolucionado la forma en que las personas se mueven en las ciudades. Sin embargo, esta revolución también ha traído consigo una serie de desafíos regulatorios y problemas relacionados con la protección de datos.

Recientemente, la compañía Uber se ha visto envuelta en una polémica que ha acabado con una sanción millonaria. La Autoridad de Protección de Datos de los Países Bajos (DPA) ha impuesto a la compañía una multa de 290 millones de euros por violar la privacidad de sus conductores. Se trata de una de las sanciones más altas emitidas desde la entrada en vigor del Reglamento General de Protección de Datos (RGPD) en 2018.

Con esta nueva sanción, Uber acumula tres multas impuestas por la DPA neerlandesa: 600.000 euros en 2018 y 10 millones de euros en 2023.

Tras una exhaustiva investigación, la autoridad descubrió que la empresa recopilaba información sensible de los conductores localizados en la Unión Europea y la almacenaba en servidores de Estados Unidos. Entre esta información se encontraban datos sobre cuentas y licencias de taxi, pero también datos de ubicación, fotos, datos de pago y documentos de identidad e incluso, en algunos casos, datos médicos y penales de los conductores.

Aleid Wolfsen, presidente de la DPA, apuntó que la violación de la privacidad de los conductores de los VTC ocurrió durante dos años antes de que la empresa adoptara medidas de protección.

La legislación europea, especialmente el RGPD, establece un marco normativo riguroso para garantizar la seguridad y privacidad de los datos personales. Este reglamento prohíbe la transferencia de datos personales a países fuera de la Unión Europea que no ofrezcan un nivel de protección de datos equivalente.

Infracción de Uber

La investigación ha revelado que Uber no implementó las medidas técnicas y organizativas necesarias para proteger los datos de sus conductores, ni ha informado de manera transparente a estos sobre la transferencia de sus datos a un país tercero. 

Estos movimientos por parte de la empresa han supuesto el incumplimiento del artículo 44 del RGPD relativo al principio general de las transferencias, en el que se establece que Solo se realizarán transferencias de datos personales que sean objeto de tratamiento o vayan a serlo tras su transferencia a un tercer país u organización internacional si, a reserva de las demás disposiciones del presente Reglamento, el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las relativas a las transferencias ulteriores de datos personales desde el tercer país u organización internacional a otro tercer país u otra organización internacional. Todas las disposiciones del presente capítulo se aplicarán a fin de asegurar que el nivel de protección de las personas físicas garantizado por el presente Reglamento no se vea menoscabado.

El periodo comprendido entre 2020 y 2023 se caracterizó por una compleja situación legal en torno a la transferencia de datos entre Europa y Estados Unidos. El RGPD impuso severas restricciones, permitiendo solo aquellas transferencias que cumplieran requisitos muy específicos, como la existencia del Escudo de Privacidad o el uso de contratos tipo.

Por su parte, Estados Unidos impugnó que sus servicios de inteligencia debían tener derecho a usar y ver los datos de ciudadanos de la UE. Sin embargo, el Tribunal de Justicia de la UE afirmó que, ante ese caso, el escudo de privacidad no garantizaría una protección suficiente a los datos sensibles. 

No fue sino hasta 2023 que se estableció un nuevo marco legal para abordar esta situación. Sin embargo, la infracción ya había sido cometida.

La multa impuesta a Uber no solo representa un golpe financiero para la compañía, sino que también pone en tela de juicio su compromiso con la protección de los datos personales de sus usuarios y colaboradores. Tras la publicación de la sanción, Uber emitió un comunicado en el que expresó su desacuerdo con la decisión de las autoridades, aunque también reconoció que la protección de los datos personales es una prioridad y se comprometió a mejorar sus protocolos de seguridad.

Sin embargo, para muchos críticos, este caso es un ejemplo más de cómo las grandes empresas tecnológicas priorizan el crecimiento y la innovación a expensas de la privacidad y seguridad de sus usuarios. Asociaciones de conductores, por su parte, han celebrado la sanción, argumentando que es un paso necesario para garantizar que las plataformas respeten los derechos de los trabajadores y tomen en serio su responsabilidad en la protección de datos.