発生日：2024-08-26

オランダデータ保護当局は、運転手の情報を米国のサーバーへ移転したことで欧州のデータ保護規則に重大な違反をしたとして、ウーバーに2億9000万ユーロの制裁金を科した。

規制当局によると、ウーバーは欧州の運転手から、タクシー免許、写真、支払い情報、位置情報、身分証明書のほか、場合によっては犯罪歴や医療データを含む機密情報を収集していた。当局によれば、これらのデータはEU一般データ保護規則に基づく十分な移転保護措置がないまま、2年以上にわたってウーバーの米国本社へ送られていた。

制裁金の大きさには、対象となったデータの規模と、違反が重大だったという規制当局の見解の両方が反映されている。データ保護当局（DPA）は、欧州連合（EU）域外へ移転される個人データを適切に保護するというGDPRの要件をウーバーが満たしていなかったとした。複数の法域にまたがってデータを処理する企業にとって、これは重大な認定だ。

ウーバーはこの決定を拒絶し、「異常」で「全く正当化できない」と述べた。同社は、EUと米国の間に不確実性があったとする期間中も、自社の移転手続きは規則に準拠していたと主張し、控訴する方針を示した。この対応により、相当な期間にわたって続く可能性のある法廷闘争が始まることになる。

この問題は、フランス人運転手170人以上が人権団体に苦情を申し立て、同団体がフランス当局に問題を提起したことから始まった。ウーバーの欧州本社がオランダにあるため、オランダの監督当局が主導規制当局となった。この点が重要なのは、EUのプライバシー規則の執行は、企業の主要拠点が所在する国を通じて行われることが多いためだ。

DPAのアレイド・ウォルフセン委員長は、この問題を基本的権利の保護に関わる根本的な問題と位置づけた。同氏の見解では、欧州の人々に属するデータは、EU域外で保存される際に軽率に扱われるべきではない。規制当局の表現からは、ウーバーが単なる技術的な規則だけでなく、GDPRの根底にある目的にも違反したと考えていることがうかがえる。

また、ウーバーがオランダ当局と問題を起こしたのは今回が初めてではない。DPAは以前にも、2018年に60万ユーロ、昨年に1000万ユーロの制裁金を同社に科しており、今回が3度目の同種の処分となる。

今回の決定は、国境を越えるデータ流通に依存する世界的なテクノロジー企業に対する欧州の幅広い監視傾向をさらに強めるものだ。ウーバーにとって直接的な影響は金銭面にある。より大きな影響は評判に関するものであり、規制当局は、運転手データの取り扱いを軽微な事務上の問題ではなく、コンプライアンスの中核的課題として扱うとの姿勢を示している。