Uber违规跨境传输司机个人数据案

【案件背景】
2024年8月26日，荷兰数据保护局（Autoriteit Persoonsgegevens, AP）公布了对网约车巨头Uber的处罚决定，处以2.9亿欧元罚款——这是荷兰DPA有史以来开出的最高罚款。调查源于170余名法国Uber司机通过人权组织Ligue des droits de l'Homme（LDH）向法国CNIL提交的集体投诉，CNIL随后根据GDPR一站式机制将案件移交给Uber欧洲总部所在地的荷兰DPA主导处理。

【违法事实】
荷兰DPA经调查认定，在2021年8月至2023年11月超过两年时间内，Uber存在以下严重违反GDPR跨境数据传输规则的行为：

一、大量敏感数据被传输至美国总部且缺乏充分保护：Uber将欧洲司机的账户详情、出租车执照、位置数据（GPS轨迹）、照片和付款详情、身份证明文件（护照和驾照扫描件），甚至犯罪记录和医疗数据等高度敏感信息传输至美国服务器存储和处理，未使用任何GDPR认可的传输工具。

二、关键时间节点——标准合同条款（SCC）的保护失效：2020年7月欧盟法院在Schrems II案中裁定隐私盾无效，并明确SCC虽仍可作为跨境传输有效基础，但须确保目的地国可提供同等保护水平。自2021年8月起，Uber完全停止使用SCC，此后两年多内在没有任何GDPR认可传输工具的情况下持续向美国传输大量欧洲司机个人数据。由于缺乏传输工具，欧洲司机的数据在美国得到的保护不够充分。

三、敏感数据的额外保护缺失：Uber传输的部分数据中包含犯罪记录和医疗数据等GDPR第9条规定的特殊类别数据，理应受最严格保护，但Uber连基本传输工具都未使用。

【处罚背景】
这是荷兰DPA第三次对Uber进行GDPR罚款——此前分别在2018年罚款60万欧元和2023年罚款1000万欧元（Uber已对该1000万欧元罚单提出上诉）。自2023年底起，Uber已开始使用欧盟-美国数据隐私框架（EU-US Data Privacy Framework）作为传输工具。

【处罚决定】
行政罚款2.9亿欧元。Uber已表示将上诉，称该决定有缺陷且罚款完全不合理。

【典型意义】
本案与Meta的12亿欧元罚款案共同构成欧盟对跨境数据传输的高压监管态势。核心启示：在Schrems II案后，无传输工具的数据传输是绝对不可接受的；SCC不是一签了之——企业有持续性义务评估目的地国法律保护水平；敏感数据的跨境传输需叠加多重保障措施；Uber连续收到三张荷兰DPA罚单，表明合规不是一次性项目而是系统工程。