荷兰数据保护局对Uber未对跨境数据传输实施充分分级安全保障措施处以2.9亿欧元罚款案

【案件背景】
2024年8月，荷兰数据保护局（AP）对出行服务平台Uber处以2.9亿欧元罚款，成为荷兰GDPR执法史上最大罚单。Uber在全球范围内运营，将欧洲司机的个人数据（包括身份证明文件、驾驶证信息、位置数据、支付详情以及在某些情况下的刑事犯罪和医疗数据）传输至位于美国的总部服务器。这些数据涵盖了从一般个人信息到特殊类别数据的高敏感性谱系。

【违法事实】
AP调查认定Uber的跨境数据传输存在以下严重违规：一是未对出境数据实施充分的分级安全保障措施——Uber将包含刑事犯罪记录和医疗数据的特殊类别个人信息与一般账户信息一并传输至美国，未根据数据敏感级别设置差异化的传输保护措施；二是数据传输未遵循GDPR第五章（国际数据传输）关于充分性认定、标准合同条款或约束性公司规则的要求——在欧盟-美国隐私盾协议（Privacy Shield）被CJEU裁定无效后，Uber未能及时调整其数据传输的法律基础；三是未对数据接收方（美国总部）的安全保障措施进行充分的独立评估——依赖自我声明而非第三方审计来证明数据接收方的安全水平；四是未向数据主体（欧洲司机）提供关于其数据在第三国处理方式的充分透明度信息。

【处罚决定】
荷兰数据保护局对Uber处以2.9亿欧元罚款，同时责令其暂停向美国传输欧洲司机的个人数据，直至完成全面的数据分级评估、传输影响评估和合规整改。

【典型意义】
本案是全球数据跨境传输合规的标志性案例，与中国《数据安全法》及《数据出境安全评估办法》形成了跨法域的呼应。一是跨境数据传输必须建立在数据分级的基础之上——不同敏感级别的数据在出境时应适用不同的保护措施和审批程序，'一刀切'的传输方式已不被监管接受。二是数据传输合规是一个持续的过程而非一次性任务——当法律基础发生变化时（如本案中Privacy Shield被推翻），企业有义务及时调整合规策略，不能滞后于法律的变化。三是荷兰DPA对标准合同条款（SCCs）的审查已从形式审查升级为实质审查——仅仅签署SCCs不足以证明合规，还必须证明接收国实际提供了与欧盟相当的保护水平。