Uber 把欧盟司机数据转移到美国两年，期间没有任何保障——2.9 亿欧元的 GDPR 罚款

2024 年 8 月 26 日，荷兰数据保护机构（Autoriteit Persoonsgegevens）以 Uber 未经 GDPR 认可的传输机制、把欧洲司机的个人数据转移到美国为由，对它罚款 2.9 亿欧元（3.24 亿美元）。荷兰监管机构有管辖权，因为 Uber 的欧盟总部设在荷兰。

违规持续了两年多，从 2021 年 8 月一直到 2023 年底：Uber 停止使用标准合同条款，在欧盟—美国数据隐私框架可用之前没有采用任何接替机制。传输中的数据包括账号信息、出租车牌照、位置记录、照片、支付信息、身份文件——有些情况下还有犯罪记录和医疗记录。

案件始于超过 170 名法国司机通过人权组织「人权联盟」提出投诉。Uber 称罚款不公，并表示会上诉，辩称那段时期跨境传输规则本身就在变动。这是荷兰 DPA 对 Uber 的第三次罚款，此前 2018 年是 60 万欧元、2023 年是 1000 万欧元。