L'Autoriteit Persoonsgegevens (AP) a infligé à Uber une amende de 290 millions d'euros en août 2024. La sanction visait l'envoi de données de chauffeurs vers des serveurs américains sans accord de transfert valide. Aucune affaire RGPD n'a produit d'amende plus élevée pour un transfert transfrontalier. En 2023, l'AP a également traité plus de 21 400 plaintes. Cela en fait l'une des autorités de protection des données les plus actives d'Europe.
Ce que l'AP a constaté dans l'affaire Uber
Uber collectait des données auprès de chauffeurs aux Pays-Bas et en France. Ces données comprenaient l'historique de localisation, les pièces d'identité, les bulletins de salaire, les relevés de conduite et les fichiers fiscaux. Tout cela a été transféré vers des serveurs américains. L'AP a jugé la méthode de transfert invalide.
Trois constats ont motivé la décision :
- Mécanisme de transfert insuffisant : Uber utilisait des Règles d'entreprise contraignantes (BCR). L'AP a estimé qu'elles ne couvraient pas le volume ni la sensibilité des données de chauffeurs transférées.
- Pas d'évaluation d'impact du transfert (TIA) : Uber n'a pas démontré que le droit américain laissait intactes les protections du transfert convenues.
- Données sensibles par combinaison : Les données de localisation, la rémunération et les notes de performance, combinées, donnent un portrait détaillé de chaque chauffeur. L'AP a traité cette combinaison comme équivalente à des données personnelles sensibles.
L'affaire Uber établit une règle claire. Les données du personnel et des sous-traitants envoyées aux États-Unis nécessitent le même TIA et les mêmes mesures supplémentaires que les données des consommateurs.
Priorités d'application de l'AP pour 2025
Mis à jour pour 2026
L'AP a identifié trois domaines qu'elle surveille de près en 2025.
Surveillance des employés : Les outils de suivi du travail à distance sont la cible principale. Cela inclut les journaux de productivité, la capture d'écran, le suivi des frappes clavier et les outils de géolocalisation à distance. Avant de déployer un tel outil, les entreprises doivent documenter pourquoi elles ont écarté des options moins intrusives.
Transferts transfrontaliers de données : Suite au jugement Uber, l'AP contrôle les mécanismes de transfert. Les entreprises qui utilisent des services américains, asiatiques ou d'autres pays sans décision d'adéquation sont concernées. Toute entreprise utilisant des logiciels américains pour les RH, la gestion de projet ou les données clients doit disposer d'un TIA à jour.
Décisions automatisées : La notation de crédit par algorithme, les filtres d'embauche IA et les systèmes d'évaluation des performances créent des obligations au titre de l'article 22. L'AP cible les organisations qui prennent des décisions automatisées sans étape de contrôle humain réelle. Les travailleurs et les consommateurs doivent tous deux être couverts.
Le BSN : un identifiant national protégé
Le Burgerservicenummer (BSN) est un numéro de service citoyen à 9 chiffres. Il est validé par l'algorithme Elfproef (épreuve des onze). Pour effectuer la vérification : multiplier chaque chiffre par un poids décroissant de 9 à −1, additionner les résultats. Le total doit être divisible par 11.
La loi BSN (Wet algemene bepalingen burgerservicenummer) limite l'utilisation du BSN à des contextes juridiques précis. Il s'agit du secteur fiscal, de la santé, des services gouvernementaux et de la paie des employeurs. L'utilisation d'un BSN en dehors de ces contextes déclenche une application de la loi BSN. La responsabilité RGPD s'y ajoute.
Pourquoi les outils génériques ratent les BSN : De nombreux outils NLP n'intègrent pas la vérification Elfproef. Sans elle, toute chaîne à 9 chiffres est signalée comme BSN potentiel. Cela génère de fausses alertes dans les documents financiers et administratifs. Les BSN mal saisis passent également inaperçus. Ils échouent à la vérification mais correspondent quand même au motif. Voir notre guide sur la détection des identifiants fiscaux européens et des DCP pour une comparaison complète des formats d'identifiants européens.
NER pour les textes néerlandais
Le néerlandais (Nederlands) a des caractéristiques qui posent problème aux modèles entraînés sur l'anglais.
Mots composés : Le néerlandais fusionne des mots. Persoonsgegevens (données personnelles) et Burgerservicenummer (numéro d'identification citoyen) sont chacun un mot unique. Les modèles conçus pour l'anglais les découpent souvent au mauvais endroit. Cela casse la reconnaissance d'entités.
Suffixes de prénoms : Les suffixes -je et -tje apparaissent dans les prénoms — Annetje, Hansje. Les modèles de reconnaissance de noms doivent traiter la forme de base et la forme diminutive.
Formats d'adresse : Les types de rues incluent Straat, Laan, Weg, Plein et Gracht. Les codes postaux comprennent quatre chiffres et deux lettres (exemple : 1234 AB). Chaque code correspond à une seule rue, ce qui le rend plus identifiant que la plupart des codes postaux européens.
Format IBAN : Les IBAN néerlandais comptent 18 caractères : NL + 2 chiffres de contrôle + code bancaire de 4 lettres + numéro de compte à 10 chiffres. Le pays a un fort taux d'adoption du paiement sans contact. Les documents financiers contiennent donc de nombreux IBAN. Pour les méthodes de scoring de confiance sur différents types d'identifiants, voir détection binaire des DCP et scoring de confiance.
Liste de contrôle technique pour la conformité AP
Pour répondre aux normes actuelles de l'AP, les systèmes de données ont besoin de :
- Détection BSN avec Elfproef — la correspondance de motifs seule ne suffit pas
- NER en langue néerlandaise — un modèle comme spaCy
nl_core_newsgère les composés et les formes diminutives - Détection IBAN — sensible au format, pas générique
- Registres des sous-traitants pour tous les transferts transfrontaliers
- TIA pour les prestataires américains — une priorité d'audit active de l'AP après l'affaire Uber
Post-Uber, un TIA pour les prestataires américains est une exigence de base, pas une bonne pratique. Pour une analyse complète du jugement et de ses implications en matière de transfert, voir Amende AP contre Uber et application transfrontalière.