Pour les informations criminels, ça peut être les amendes que les chauffeurs récoltent (ou les accidents, les points de permis). Si une personne est condamnée pour conduite en état d'ivresse lors d'une course sur la plateforme, c'est une information qui pourrait tomber sous la qualification de "criminal data" si Uber garde ça pour bloquer la plateforme à la personne (blocage qui ne me semblerais pas illégitime en soit).
Pour les informations médicales, je suppose que ça pourrait simplement être les déclarations de RQTH (reconnaissance de la qualité de travailleur handicapé), vu qu'un handicap, c'est une info médicale, ou ce genre de choses. Il faut bien voir que "medical data", ça ne veut pas dire "l'intégralité de tes données de santé".
Tout comme quand ton entreprise note qui contacter en cas d'accident avec la mention conjoint/conjointe, ç'est un traitement possible de l'orientation sexuelle (cf le cas C‐184/20 de la CJUE que je ressort tout le temps) qui tomberais sous le coup de l'article 9 du RGPD.
Mais dans l'affaire du jour, le souci n'est pas d'avoir l'info (car bon, dans les 2 exemples que j'ai donné, je pense qu'on peut trouver des cas légitimes suivant le détail), mais d'avoir transféré d'une entité dans l'UE (Uber, le contrôleur) vers une entité (XXX, le processeur) ailleurs (ici les USA) sans se soucier de l'article 44 du RGPD.
L'article 44 dit grosso modo "faut respecter l'article 45, 46 ou 47".
Le 47 (binding corporate rules), OSEF un peu dans mon souvenir.
Le 45, c'est "on peut transférer si il y a un accord entre l'UE et le pays du transfert" (plus conditions pour que l'accord soit valable).
Le 46, c'est "on peut transférer si il y a suffisamment de garantie entre les 2 parties via un contrat". En gros, si la loi d'un pays n'oblige pas à respecter le RGPD, mais que le contrat le demande, ça suffit.
De ce que je comprends (sans avoir lu ce que la CNIL a écrit et sur la base de la presse), Uber s'est sans doute appuyé sur l'article 45 pour utiliser des fournisseurs aux USA à l'époque ou il y avait un accord (Privacy Shield), puis n'a rien fait quand l'accord a sauté suite à l'affaire Schrems II en 2020 (qui a rendu l'accord invalide). Uber aurait pu éviter l'amende en commençant à renégocier ses contrats, etc, car je pense que la justice ne demande pas une adéquation parfaite et immédiate.
Si une boite prouve sa bonne foi et du progrès sur la mise en adéquation aprés un changement soudain, je suppose qu'elle ne prends pas 290 millions d'amende car tout le monde sait que ça va prendre du temps.
Mais il est probable qu'Uber n'ai rien fait pendant 3 ans (entre 2020 et 2023, date du nouvel accord), càd non seulement n'a pas changé les contrats existants avec ses fournisseurs lors des renouvellements, et n'a sans doute rien fait avec les nouveaux en mode YOLO, s'appuyant sur l'article 45 comme avant en se disant "ça va revenir de toute façon, on va pas se faire chier avec l'article 46".
[^] # Re: comment est ce seulement possible
Posté par Misc (site web personnel) . En réponse au lien Uber fined 290ドル million for sending drivers’ data outside Europe . Évalué à 5.
J'ai des hypothèses.
Pour les informations criminels, ça peut être les amendes que les chauffeurs récoltent (ou les accidents, les points de permis). Si une personne est condamnée pour conduite en état d'ivresse lors d'une course sur la plateforme, c'est une information qui pourrait tomber sous la qualification de "criminal data" si Uber garde ça pour bloquer la plateforme à la personne (blocage qui ne me semblerais pas illégitime en soit).
Pour les informations médicales, je suppose que ça pourrait simplement être les déclarations de RQTH (reconnaissance de la qualité de travailleur handicapé), vu qu'un handicap, c'est une info médicale, ou ce genre de choses. Il faut bien voir que "medical data", ça ne veut pas dire "l'intégralité de tes données de santé".
Tout comme quand ton entreprise note qui contacter en cas d'accident avec la mention conjoint/conjointe, ç'est un traitement possible de l'orientation sexuelle (cf le cas C‐184/20 de la CJUE que je ressort tout le temps) qui tomberais sous le coup de l'article 9 du RGPD.
Mais dans l'affaire du jour, le souci n'est pas d'avoir l'info (car bon, dans les 2 exemples que j'ai donné, je pense qu'on peut trouver des cas légitimes suivant le détail), mais d'avoir transféré d'une entité dans l'UE (Uber, le contrôleur) vers une entité (XXX, le processeur) ailleurs (ici les USA) sans se soucier de l'article 44 du RGPD.
L'article 44 dit grosso modo "faut respecter l'article 45, 46 ou 47".
Le 47 (binding corporate rules), OSEF un peu dans mon souvenir.
Le 45, c'est "on peut transférer si il y a un accord entre l'UE et le pays du transfert" (plus conditions pour que l'accord soit valable).
Le 46, c'est "on peut transférer si il y a suffisamment de garantie entre les 2 parties via un contrat". En gros, si la loi d'un pays n'oblige pas à respecter le RGPD, mais que le contrat le demande, ça suffit.
De ce que je comprends (sans avoir lu ce que la CNIL a écrit et sur la base de la presse), Uber s'est sans doute appuyé sur l'article 45 pour utiliser des fournisseurs aux USA à l'époque ou il y avait un accord (Privacy Shield), puis n'a rien fait quand l'accord a sauté suite à l'affaire Schrems II en 2020 (qui a rendu l'accord invalide). Uber aurait pu éviter l'amende en commençant à renégocier ses contrats, etc, car je pense que la justice ne demande pas une adéquation parfaite et immédiate.
Si une boite prouve sa bonne foi et du progrès sur la mise en adéquation aprés un changement soudain, je suppose qu'elle ne prends pas 290 millions d'amende car tout le monde sait que ça va prendre du temps.
Mais il est probable qu'Uber n'ai rien fait pendant 3 ans (entre 2020 et 2023, date du nouvel accord), càd non seulement n'a pas changé les contrats existants avec ses fournisseurs lors des renouvellements, et n'a sans doute rien fait avec les nouveaux en mode YOLO, s'appuyant sur l'article 45 comme avant en se disant "ça va revenir de toute façon, on va pas se faire chier avec l'article 46".