Cơ quan Bảo vệ Dữ liệu Hà Lan phạt Uber 290 triệu euro vì chuyển dữ liệu tài xế sang Mỹ

DPA Hà Lan phạt Uber 290 triệu euro

• Cơ quan Bảo vệ Dữ liệu Hà Lan (DPA) đã phạt Uber 290 triệu euro liên quan đến việc công ty chuyển dữ liệu cá nhân của các tài xế taxi châu Âu sang Mỹ
• DPA Hà Lan kết luận Uber đã vi phạm GDPR (Quy định bảo vệ dữ liệu chung)
• Uber hiện đã chấm dứt hành vi vi phạm này

Dữ liệu nhạy cảm

• Uber lưu trữ trên các máy chủ tại Mỹ thông tin tài khoản của tài xế châu Âu, giấy phép taxi, dữ liệu vị trí, ảnh, thông tin thanh toán, giấy tờ tùy thân, cùng dữ liệu về tiền án và y tế
• Trong hơn 2 năm chuyển các dữ liệu này, công ty đã không sử dụng công cụ chuyển dữ liệu phù hợp
• Sau khi EU-US Privacy Shield bị vô hiệu hóa vào năm 2020, việc không sử dụng Standard Contractual Clauses khiến mức độ bảo vệ dữ liệu không đủ
• Sau tháng 8/2021, Uber không sử dụng Standard Contractual Clauses, và điều này bị DPA Hà Lan đánh giá là bảo vệ dữ liệu không đầy đủ
• Hiện Uber đang sử dụng cơ chế kế nhiệm của Privacy Shield

Khiếu nại của các tài xế

• DPA Hà Lan bắt đầu điều tra sau khi hơn 170 tài xế Pháp gửi khiếu nại thông qua tổ chức nhân quyền Pháp LDH
• Theo GDPR, các công ty xử lý dữ liệu tại nhiều quốc gia thành viên EU phải phối hợp với DPA của quốc gia nơi đặt trụ sở chính
• Trụ sở châu Âu của Uber đặt tại Hà Lan
• Trong thời gian điều tra, DPA Hà Lan đã phối hợp chặt chẽ với DPA Pháp và điều phối quyết định với các DPA châu Âu khác

Mức phạt đối với Uber

• Tất cả các DPA ở châu Âu đều tính mức phạt doanh nghiệp theo cùng một cách
• Mức phạt có thể lên tới 4% doanh thu thường niên toàn cầu của doanh nghiệp
• Uber ghi nhận khoảng 34,5 tỷ euro doanh thu toàn cầu trong năm 2023
• Uber cho biết có ý định phản đối mức phạt này
• DPA Hà Lan trước đó từng phạt Uber 600.000 euro vào năm 2018 và 10 triệu euro vào năm 2023

Tóm tắt của GN⁺

• Bài viết này đề cập đến trường hợp Uber bị phạt do vi phạm GDPR
• Bài viết nhấn mạnh sự cần thiết của các biện pháp bảo vệ bổ sung khi chuyển dữ liệu ra ngoài châu Âu
• Nội dung giúp hiểu rõ tầm quan trọng của bảo vệ dữ liệu và các quy định nghiêm ngặt của GDPR
• Một dự án khác có chức năng tương tự là dịch vụ bảo vệ dữ liệu của Google Cloud

[GN⁺]

Ý kiến Hacker News

• Dữ liệu ở Mỹ chủ yếu do những người ở châu Âu hoặc Ấn Độ quản lý

  • Máy chủ đặt ở Mỹ nhưng việc truy cập dữ liệu diễn ra từ bên ngoài
  • Mỹ cần các đạo luật mạnh tay hơn

• Uber đã thảo luận với cơ quan bảo vệ dữ liệu cá nhân Hà Lan về tính mơ hồ của luật

  • Uber cho rằng họ không vi phạm quy định
  • Luật không rõ ràng không có nghĩa là được quyền phá vỡ quy tắc
  • Tiền phạt không nên trở thành một phần của hoạt động kinh doanh

• Uber đang sử dụng biện pháp kế nhiệm của Privacy Shield

  • Về sau chuyện này vẫn có thể lại trở thành vấn đề
  • Ủy ban châu Âu đang không xử lý thỏa đáng

• Việc Uber bị phạt ở Hà Lan mang tính mỉa mai

  • Ở Hà Lan, taxi truyền thống đang được bảo hộ
  • Mức phạt rất cao

• Cơ quan bảo vệ dữ liệu Hà Lan đã điều tra khiếu nại của hơn 170 tài xế người Pháp

  • Một tổ chức nhân quyền của Pháp đã đệ đơn khiếu nại

• Có người thắc mắc liệu việc phạt các công ty Mỹ đã trở thành một ngành công nghiệp chủ lực của châu Âu hay chưa

• Có người đặt câu hỏi về mức độ liên quan với EU-US Data Privacy Framework

  • Không rõ liệu vấn đề này có thể đã được giải quyết như một sự thay thế cho Privacy Shield hay không

• Quy trình kháng cáo được dự đoán sẽ mất khoảng 4 năm

  • Tiền phạt sẽ được hoãn cho đến khi mọi thủ tục pháp lý kết thúc

• Họ sẽ xem tiền phạt như chi phí kinh doanh tại châu Âu và phản ánh vào giá

• Trong những năm gần đây, tổng số tiền phạt mà EU áp lên các công ty công nghệ Mỹ đã đạt 14,8 tỷ USD

  • Các công ty công nghệ Mỹ nhiều khả năng sẽ không rời châu Âu
  • Cơ quan quản lý đang phản ứng thái quá