Uber vai recorrer da multa aplicada nos Países Baixos pela transferência de dados para os EUA

A agência neerlandesa de proteção de dados quer obrigar a Uber a pagar uma coima de 290 milhões de euros, a mais elevada do género até à data. A empresa da aplicação de transportes já anunciou que vai recorrer da decisão.

A Uber tenciona recorrer da multa que os Países Baixos determinaram, por considerarem a transferência de dados pessoais dos motoristas da empresa na Europa para os Estados Unidos uma violação do Regulamento Geral sobre a Proteção de Dados (RGPD) da UE. A coima de 290 milhões de euros é a mais elevada de sempre até à data, aplicada pela autoridade neerlandesa para a proteção de dados (DPA).

A Uber alegadamente recolheu, em 2021, “informações sensíveis” sobre os seus motoristas europeus, incluindo dados como fotografias, documentos de identificação, licenças de táxi, dados de localização e pagamentos e, em alguns casos, até dados médicos e criminais dos condutores, inserindo-os posteriormente em bases de dados localizadas em servidores americanos.

A DPA considera que ao fazer as transferências para as bases de dados nos EUA, a Uber não cuidou de “salvaguardar adequadamente os dados relativos a essas transferências”. Considera ainda que esta transferência é uma “violação grave” do RGPD, a lei que protege os dados pessoais e que obriga as empresas a respeitar os direitos dos cidadãos europeus.

As leis de proteção de dados exigem que “as empresas e os governos tratem os dados pessoais com o devido cuidado”, disse Aleid Wolsen, presidente da DPA, em comunicado publicado no site da autoridade de controlo neerlandesa. “Mas, infelizmente, isto não é evidente fora da Europa. Pensemos nos governos que podem aceder a dados em grande escala”. A DPA considera que a Uber transmitiu dados para a empresa-mãe durante mais de dois anos, sem os proteger adequadamente, até ter tomado medidas para deixar de violar as regras em vigor, no final de 2023.

“Esta decisão errada e a multa extraordinária são completamente injustificadas”, disse por seu lado um porta-voz da Uber à Euronews Next. A Uber afirma ter cumprido o RGPD durante três anos de “imensa incerteza” sobre como as regras seriam aplicadas entre os EUA e a UE, entre de meados de 2020 até meados de 2023.

Em 2020, o Tribunal de Justiça da UE determinou que o então quadro de transferência de dados entre a UE e os EUA (caso Schrems II) já não estava conforme o RGPD. Segundo o Tribunal, “as cláusulas contratuais-tipo podiam ainda constituir uma base válida para a transferência de dados para países fora da UE, mas apenas se fosse possível garantir na prática um nível de proteção equivalente”.

A DPA considera que “como a Uber deixou de utilizar as cláusulas contratuais-tipo a partir de agosto de 2021, os dados dos condutores da UE não estavam suficientemente protegidos”. No entanto, desde o final de 2023, a Uber utiliza o sucessor do Escudo (shield) de Proteção da Privacidade.

Neste novo shield, publicado em julho de 2023, a Comissão Europeia emitiu uma declaração segundo a qual os EUA oferecem proteção suficiente para os dados europeus. A Uber disse à Euronews Next que não teve de efetuar quaisquer alterações à forma como armazena as informações nos EUA quando essa declaração foi divulgada.

A Associação da Indústria de Computadores e Comunicações (CCIA Europe) emitiu um comunicado de apoio à Uber e explica o que está em causa. O caso relacionado com a multa remonta a 2021-2022, após o final do quadro de transferências de dados entre a UE e os EUA e precedendo ao novo Quadro de Privacidade de Dados UE-EUA, que só entrou em vigor no ano passado (2023). Durante um período de cerca de três anos, as empresas europeias e americanas foram “deixadas sem quaisquer orientações claras para os fluxos de dados transatlânticos” explica a CCIA Europe em comunicado.

“Quaisquer multas retroativas por parte das autoridades de proteção de dados são especialmente preocupantes, uma vez que estes mesmos vigilantes da privacidade não forneceram orientações úteis durante este período de incerteza jurídica significativa, na ausência de qualquer quadro jurídico claro”, afirmou Alexandre Roure, Chefe de Política da CCIA Europe, no mesmo comunicado. Para a CCIA, as multas retroativas significam que “haveria incerteza jurídica para tudo o que acontecesse online entre 2020 e 2023, desde a videoconferência ao processamento de pagamentos online”.

A Uber, com a sede europeia em Amesterdão, vai recorrer da coima e “continua confiante de que o bom senso prevalecerá”, disse o mesmo porta-voz à Euronews Next. O recurso significa que a coima fica suspensa.

Esta é a terceira multa aplicada pela DPA neerlandesa à Uber. A investigação começou no início de 2024, na sequência da queixa apresentada à ONG Liga dos Direitos Humanos, francesa, por 170 condutores franceses, em 2021. A Liga apresentou a queixa à DPA francesa que a passou para a DPA neerlandesa que coordena o caso. A autoridade de controlo dos Países Baixos já tinha multado a Uber em dezembro de 2023 e em 2018, multas que ascenderam respetivamente a 10 milhões e 600 mil euros em 2018. O apelo da Uber relativo ao caso de dezembro de 2023 ainda está ativo.

O montante das coimas é calculado da mesma forma por todas as autoridades de proteção de dados europeias. Em Portugal é a Comissão Nacional de Proteção de Dados (CNPD). As coimas ascendem a um máximo de 4% do volume de negócios anual mundial de uma empresa. A Uber teve um volume de negócios mundial de cerca de 34,5 mil milhões de euros, em 2023, o que se traduz numa multa de 290 milhões de euros.