L'AP Néerlandaise et l'Amende Uber
En août 2024, l'Autoriteit Persoonsgegevens (AP) néerlandaise a infligé à Uber une amende de 290 millions d'euros. Uber avait transféré des données de chauffeurs européens vers des serveurs américains sans base légale. Ces données comprenaient des licences de taxi, des vérifications d'antécédents judiciaires, des dossiers médicaux et des historiques de trajets.
Uber a déplacé ces données après que Schrems II a invalidé le Privacy Shield UE-États-Unis en juillet 2020. Les transferts ont continué pendant deux ans. Pas de clauses contractuelles types. Aucun mécanisme de l'article 46.
Cette amende est la plus élevée dans l'UE pour une violation de transfert de données. Elle se classe troisième parmi toutes les amendes RGPD. Les manquements aux transferts ont désormais un coût élevé. Pas seulement les violations de données.
Consultez notre guide de conformité RGPD pour un aperçu rapide.
Priorités d'action de l'AP
L'AP a reçu plus de 21 400 plaintes RGPD en 2023. Elle se concentre sur trois domaines.
Priorité 1 — Surveillance des employés (43 % des cas) : De nombreuses entreprises néerlandaises ont reçu des amendes pour avoir surveillé leurs salariés. Caméras cachées, contrôles massifs d'e-mails et tracking GPS sans notification déclenchent des mesures. Le droit du travail néerlandais ajoute des règles supplémentaires au-delà du RGPD.
Priorité 2 — Transferts transfrontaliers (31 % des cas) : Après l'amende Uber et une enquête conjointe avec la DPC irlandaise sur Cloudflare (2023), l'AP a renforcé son contrôle des transferts. Le secteur tech d'Amsterdam est fortement exposé. Entreprises cloud, fintech et startups à forte croissance sont toutes concernées.
Priorité 3 — Marketing et profilage (26 % des cas) : Cela couvre le consentement aux cookies, le ciblage publicitaire et le marketing direct. L'AP adopte une position stricte sur « l'intérêt légitime ». Elle exige des tests écrits avec des preuves claires.
Règles de transfert après Uber
Évaluations d'impact sur les transferts (TIA) : L'EDPB exige une TIA pour tout transfert vers un pays tiers. La TIA doit montrer que le pays de destination offre une protection équivalente au droit européen. L'AP dit qu'une TIA doit répondre à quatre questions :
- Quelles sont les lois d'accès des autorités dans le pays de destination ?
- Quelle est la portée des services de renseignement ?
- Quel est l'historique des demandes gouvernementales auprès de l'importateur de données ?
- Quels recours juridiques les personnes concernées peuvent-elles exercer ?
Clauses contractuelles types — pas suffisantes seules : Les CCT seules ne satisfont pas l'article 46 si la TIA révèle un risque d'accès gouvernemental. Des garanties supplémentaires sont alors requises.
Mesures techniques supplémentaires acceptées par l'AP :
- Chiffrement où l'importateur n'a pas accès aux clés de déchiffrement
- Suppression des identifiants directs avant le transfert pour que l'importateur ne puisse pas relier les données à une personne
- Réduction des données avant le transfert, en supprimant les champs dont l'importateur n'a pas besoin
L'application Desktop hors ligne fonctionne entièrement sur votre appareil. Elle n'envoie aucune donnée à l'extérieur. Cela élimine la question du transfert pour cette activité. Voir notre aperçu sécurité et conformité.
Données des Employés et Droit du Travail Néerlandais
Le fait que 43 % des actions de l'AP concernent la surveillance des employés montre comment le RGPD et le droit du travail néerlandais se croisent.
Trois règles s'appliquent aux organisations basées aux Pays-Bas :
Accord du comité d'entreprise : Une entreprise dotée d'un comité d'entreprise (Ondernemingsraad) doit obtenir son accord avant de déployer tout outil de surveillance. Cela couvre les outils IA, les contrôles d'e-mails et les systèmes de présence.
Proportionnalité : La surveillance doit correspondre à son objectif déclaré. La surveillance cachée n'est pas autorisée. La surveillance ouverte doit être l'option la moins intrusive.
Limitation des finalités : Les données RH collectées pour un objectif ne peuvent pas être utilisées pour un autre. Une nouvelle base légale est nécessaire.
Ces règles exigent trois documents : l'accord du comité, le contrôle de finalité et les mesures de contrôle. Notre liste de contrôle conformité couvre les trois.
Détection PII aux Pays-Bas
Les outils PII aux Pays-Bas doivent gérer les formats d'identifiants locaux. Les outils globaux standard les manquent souvent :
- BSN (Burger Service Nummer) : Identifiant national néerlandais à 9 chiffres — nécessite une validation par somme de contrôle
- IBAN (préfixe NL) : IBAN néerlandais avec sa propre logique de validation
- Code postal (postcode) : Format : 4 chiffres + espace + 2 lettres
- DigiD : Code d'identité numérique gouvernemental
- Numéros de santé : Formats BGZ et EP pour les dossiers patients
Un outil générique peut détecter l'IBAN mais rater la somme de contrôle BSN ou le format de code postal. Testez la détection BSN avant de traiter des données d'identité nationale. Ne supposez pas une couverture complète.
Étapes pour les Organisations Néerlandaises
1. Audit des transferts : Lister tous les flux de données vers des pays tiers. Vérifier les CCT en place. Réaliser des TIA pour les flux clés. Documenter les mesures techniques supplémentaires là où une TIA signale un risque.
2. Examen de la surveillance des employés : Lister tous les outils de surveillance, y compris IA. Vérifier les accords du comité d'entreprise. Confirmer que les contrôles de finalité existent par écrit.
3. Contrôle de couverture PII : Tester la détection BSN, code postal et IBAN dans vos outils PII. Tester la précision sur des documents en néerlandais.
4. Exposition du secteur tech : Les startups doivent documenter les choix qui réduisent le risque de transfert — cloud en zone UE et options de traitement local. Les fournisseurs avec des configurations EU-US doivent documenter leurs outils de transfert et leur approche TIA.
anonym.legal utilise des centres de données Hetzner basés dans l'UE avec une conception zéro-connaissance. Le serveur ne voit jamais votre contenu en clair. Une violation complète du serveur ne donne accès qu'à du texte chiffré AES-256-GCM. Besoin d'un traitement local ? L'application Desktop fonctionne entièrement sur votre appareil sans connexions externes.
Sources
- AP Néerlandaise : Autoriteit Persoonsgegevens — VERIFIED-EXTERNAL
- AP Néerlandaise : Décision d'exécution Uber (août 2024) — VERIFIED-EXTERNAL
- EDPB : Recommandations 01/2020 sur les mesures supplémentaires — VERIFIED-EXTERNAL