VERZOEKSCHRIFT
VERZOEKSCHRIFT
EX ART. 15 LID 1 AVG XX. ART. 35 LID 1 UAVG
Rechtbank Amsterdam Sector civiel
Verzoekers in deze procedure zijn:
1. […], wonende te […], Verenigd Koninkrijk, aan de […], hierna ook te noemen ‘[Verzoeker 1],
2. […], wonende te […], Verenigd Koninkrijk, aan de […], hierna ook te noemen ‘[Verzoeker 2],
3. […], wonende te […], Verenigd Koninkrijk, aan de […], hierna ook te noemen ‘[Verzoeker 3],
4. […], wonende te […], Verenigd Koninkrijk, aan de […], hierna ook te noemen ‘[Verzoeker 4],
allen te dezer zake woonplaats kiezende te (1019 AZ) Amsterdam aan het adres Xxxxxxxxxx 0X, ten kantore van Ekker Advocatuur, van wie mr. X.X. Xxxxx tot advocaat wordt gesteld en als zodanig zal optreden.
Verweerder is de besloten vennootschap UBER B.V., gevestigd en kantoorhoudende te (1097 DP) Amsterdam aan het adres Xxxxxxx Xxxxxxxxx 0 (UBER B.V.).
1. INLEIDING
1. Verzoekers werken als gelicentieerde ‘private hire drivers’ voor Uber in het Verenigd Koninkrijk. Hierbij maken zij gebruik van de diensten van Uber via de Uber Driver App (“Driver App”).
2. Uber is een gelicentieerde ‘private hire transport operator’. Het bedrijf is actief in 67 landen en brengt via haar mobiele app klanten in contact met officiële taxichauffeurs, maar ook met privéchauffeurs. In het Verenigd Koninkrijk werken naar schatting 100.000 chauffeurs voor Uber.
3. [Verzoeker 2] heeft Uber op 21 juni 2020 per mail verzocht om:
- inzage in de hem betreffende persoonsgegevens die door Uber worden verwerkt, op grond van art. 15 Algemene Verordening Gegevensbescherming (AVG);
- ter beschikking stelling van de door hem aan Uber verstrekte gegevens in een gestructureerde, gangbare en machineleesbare vorm, op grond van art. 20 AVG (productie 1).
4. [Verzoeker 1] en [Verzoeker 3] hebben op 20 juni 2020 identieke verzoeken gedaan via email (productie 2 en 3). [Verzoeker 4] heeft op 21 juni 2020 een identiek verzoek gedaan via de Uber Driver App (productie 4).
5. Als reactie op de genoemde verzoeken (de “AVG-verzoeken”) heeft Uber aan [Verzoeker 2] en [Verzoeker 4] een aantal digitale bestanden toegezonden met informatie over de verwerking van
persoonsgegevens door Uber (productie 5 en 6). De bestanden bevatten echter niet de volledige informatie waar [Verzoeker 2] en [Verzoeker 4] om hebben gevraagd en waar zij op grond van de AVG recht op hebben. [Verzoeker 1] en [Verzoeker 3] hebben geen bestanden van Uber ontvangen.
6. Gezien het voorgaande wenden Verzoekers zich tot uw rechtbank met het verzoek om Uber, conform art. 35 lid 1 Uitvoeringswet Algemene Verordening Gegevensbescherming, te bevelen alsnog volledig te voldoen aan de AVG-verzoeken.
2. ACHTERGROND
7. Xxxxxxxxxx zijn aangesloten bij de App Drivers & Couriers Union (ADCU). De ADCU is een vakbond die opkomt voor de belangen van alle private hire drivers & couriers in het Verenigd Koninkrijk, onder andere in de relatie met werkgevers en toezichthouders. De ADCU zet zich onder andere in voor meer transparantie over de gegevensverwerking door partijen als Uber. De ADCU is aangesloten bij de International Alliance of App Transport Workers (IAATW). Beide organisaties zetten zich in digitale
rechten voor ‘platform workers’.
8. Xxxxxxxxxx zijn daarnaast betrokken bij het Platform Info Exchange Ltd. (hierna: ‘Worker Info Exchange (WIE)’). WIE is een non-profit organisatie die zich onder meer ten doel stelt om werknemers en zelfstandigen in de informatie-economie toegang te geven tot (persoons)gegevens die tijdens het werk over hen worden verzameld. Een belangrijk doel is daarbij om de machtsverhouding tussen grote digitale platforms, zoals Uber, en de mensen die deze platforms succesvol maken – de werknemers – in balans te brengen.
9. De ADCU en IAATW hebben gezamenlijk het initiatief genomen tot oprichting van een ‘data trust’. Binnen deze data trust, welke in stand wordt gehouden door Worker Info Exchange, worden de persoonsgegevens van chauffeurs bijeengebracht. De inzichten die zodoende worden verkregen, kunnen onder andere worden gebruikt in het kader van collectieve onderhandelingen.
10. Het belang van transparantie over de gegevensverwerking door Uber is groot, mede om de volgende redenen:
(i) In verschillende jurisdicties worden procedures gevoerd over de vraag of tussen Uber en de Uber-chauffeurs een arbeidsrelatie bestaat. Van belang hierbij is onder andere de mate waarin Uber managementcontrole heeft. Deze controle wordt onder andere uitgeoefend door middel van algoritmes en geautomatiseerde besluitvorming;
(ii) De Britse rechter heeft geoordeeld dat chauffeurs recht hebben op minimumloon en vakantietoeslag voor elk uur dat zij op het Uber platform zijn ingelogd. Chauffeurs hebben in dit kader toegang tot hun gegevens nodig om hun loon te kunnen berekenen, de kwaliteit en kwantiteit van het aangeboden werk te kunnen beoordelen en om te begrijpen hoe ze presteren in vergelijking met anderen. De genoemde gegevens zijn eveneens nodig om zich te kunnen organiseren en collectieve onderhandelingsmacht op te kunnen bouwen;
(iii) Transparantie over de gegevensverwerking stelt chauffeurs beter in staat om hun belangen naar voren te brengen in de discussie over openbare beleidsbeslissingen m.b.t. vervoersregelgeving. Tot op heden domineert Uber de discussie over prijsstelling en
‘congestion charging’, terwijl haar belangen meestal niet samenvallen met wat het beste is
voor chauffeurs of de samenleving;
(iv) Bij het nemen van beslissingen over private hire licences worden bestuurders beoordeeld op hun geschiktheid. Daarbij is hun staat van dienst en gedrag zeer relevant. Om deze reden hebben chauffeurs er groot belang bij om onbeperkte toegang te hebben tot hun gegevens bij Uber;
(v) De Britse rechter heeft geoordeeld dat Uber-chauffeurs recht hebben op bescherming tegen discriminatie. Uit rapporten van Transport For London blijkt dat 94% van de chauffeurs met een private hire license een migratieachtergrond heeft. Chauffeurs hebben dan ook zeer regelmatig te maken met discriminatie. Om te kunnen bepalen of sprake is van discriminatie of ongelijke behandeling hebben chauffeurs toegang nodig tot de berekening van hun ‘rating’ in de Uber Driver App, de variantie in de tijd en de variantie ten opzichte van anderen. Van belang hierbij is dat chauffeurs door Uber worden gedeactiveerd wanneer hun klantwaardering onder de 4,4 uit 5,0 komt.
11. De AVG-verzoeken zijn er, gezien het voorgaande, mede op gericht om persoonsgegevens ter beschikking te stellen aan Worker Info Exchange.
3. XXXXXXXXX XXXXX
12. Verzoekers zijn ten aanzien van de persoonsgegevens die Uber over hen verwerkt, aan te merken als betrokkene in de zin van de art. 4 onderdeel 1 AVG. De betreffende gegevens zijn immers herleidbaar tot verzoekers, onder ander via de accountgegevens (naam, adres, telefoonnummer, etc.) in de Uber Driver App.
13. Uber B.V. en Uber Technologies Inc., een in San Francisco gevestigde entiteit, treden op als verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens die worden verzameld in verband met het gebruik van de diensten van Uber in de Europese Economische ruimte en het Verenigd Koninkrijk (zie de Uber Privacy Notice, productie 7). Voor zover Uber B.V. en Uber Technologies Inc. optreden als gezamenlijke verantwoordelijken, kiezen Verzoekers ervoor om hun rechten uit te oefenen jegens Uber B.V., conform het bepaalde in art. 26 lid 1 AVG.
Recht van inzage
14. Art. 15 lid 1 AVG luidt:
De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft een klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
15. Een betrokkene hoeft een verzoek tot inzage op grond van art. 15 lid 1 AVG niet nader te onderbouwen.
Recht op overdraagbaarheid van gegevens
16. Artikel 20 leden 1 en 2 AVG luiden:
1. De betrokkene heeft het recht de hem betreffende persoonsgegevens, die hij aan een verwerkingsverantwoordelijke heeft verstrekt, in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen, en hij heeft het recht die gegevens aan een andere verwerkingsverantwoordelijke over te dragen, zonder daarbij te worden gehinderd door de verwerkingsverantwoordelijke aan wie de persoonsgegevens waren verstrekt, indien:
a) de verwerking berust op toestemming uit hoofde van artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), of op een overeenkomst uit hoofde van artikel 6, lid 1, punt b); en
b) de verwerking via geautomatiseerde procedés wordt verricht.
2. Bij de uitoefening van zijn recht op gegevensoverdraagbaarheid uit hoofde van lid 1 heeft de betrokkene het recht dat de persoonsgegevens, indien dit technisch mogelijk is, rechtstreeks van de ene verwerkingsverantwoordelijke naar de andere worden doorgezonden.
17. Uber dient betrokkenen in de zin van de AVG de mogelijkheid te bieden om persoonsgegevens direct te downloaden. Tevens dient de mogelijkheid geboden te worden om persoonsgegevens direct aan een andere verantwoordelijke te verzenden. Voor dit doeleinde kan gebruik gemaakt worden van een Application Programming Interface (‘API’) of van een Trusted Third Party (TTP).1 Een goed voorbeeld is de mogelijkheid die TomTom biedt om gegevens via haar website te downloaden voor gebruik op andere websites en in andere bestandsformaten (productie 8).
18. Het recht op dataportabiliteit is van toepassing op alle door de betrokkene verstrekte gegevens. Dit betreft enerzijds persoonsgegevens die ‘bewust en actief’ door de betrokkene verstrekt worden, zoals accountgegevens (mailadres, gebruikersnaam, leeftijd) en anderzijds persoonsgegevens die de
betrokkene ‘verstrekt’ door het gebruik van de aangeboden dienst of apparatuur.
19. In het algemeen dient, gezien de doelstelling van het recht op dataportabiliteit, de term ‘door de
betrokkene verstrekt’ breed opgevat te worden en vallen alleen ‘gededuceerde gegevens’ en ‘afgeleide gegevens’ hier niet onder. Een verantwoordelijke kan deze gededuceerde gegevens uitsluiten, maar
1 Een application programming interface (API) bestaat uit subprogramma’s, protocollen en middelen voor het maken van software en applicaties. Het verwijst naar de interfaces van applicaties of webdiensten die door verantwoordelijken beschikbaar gesteld worden zodat andere systemen of applicaties verbinding met hun systeem kunnen maken en daarmee kunnen werken. Zie ‘Richtlijnen voor het recht op dataportabiliteit’, Autoriteit Persoonsgegevens, p. 6, par. 2.3.
dient alle andere persoonsgegevens toe te voegen die de betrokkene met door de verantwoordelijke beschikbaar gestelde middelen verstrekt heeft.2
20. De verwerkingsverantwoordelijke dient met de gegevens zoveel mogelijk metagegevens mee te sturen, met een zo hoog mogelijk mate van fijnkorreligheid, teneinde de precieze betekenis van de uitgewisselde informatie te behouden.3
Geautomatiseerde besluitvorming en profilering
21. Uber is ten aanzien van verzoekers gerechtigd om gebruik te maken van geautomatiseerde besluitvorming en profilering, voor zover dit noodzakelijk is voor de uitvoering van de overeenkomst tussen Uber en verzoekers (art. 22 lid 2 sub a) AVG).
22. Uber dient bij het toepassen van geautomatiseerde besluitvorming en profilering te voldoen aan het bepaalde in art. 22 lid 3 AVG:
In de in lid 2, punten a) en c), bedoelde gevallen treft de verwerkingsverantwoordelijke passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, waaronder ten minste het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.
23. Om te kunnen beoordelen of Uber aan deze verplichtingen voldoet is het voor chauffeurs van groot belang dat Uber voldoet aan de in art. 15 lid 1 sub h AVG opgenomen informatieverplichting.
24. De AVG definieert profilering als volgt:
“profilering”: elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen (art. 4 onderdeel 4 AVG).
25. Bij het toepassen van profilering dient Uber passende wiskundige en statistische procedures te hanteren en technische en organisatorische maatregelen te treffen om een voor de betrokkene behoorlijke en transparante verwerking te garanderen, waaronder om onjuistheden in persoonsgegevens te corrigeren en het risico op fouten te minimaliseren. Ook moeten discriminerende gevolgen van profilering worden voorkomen (Overweging 71 AVG). Deze voorwaarden zijn ook neergelegd in het algemene beginsel van "behoorlijke gegevensverwerking" ("fair" in de Engelse versie) op grond van artikel 5 lid 1 sub a AVG.
4. GEGEVENSVERWERKING UBER
26. Uber verwerkt via de Driver App grote hoeveelheden persoonsgegevens over chauffeurs. Algemene informatie over deze gegevensverwerkingen is opgenomen in de Uber Privacy Notice (productie 7).
27. De gegevensverwerking door Uber heeft een grote impact op verzoekers. Uber krijgt via deze gegevensverwerking immers een zeer indringend beeld van o.a. het gebruik van de Uber Driver App, de locatie en het rijgedrag van de chauffeur, communicatie met klanten en de supportafdeling van Uber etc. Binnen de Uber Driver App worden mede op basis van deze gegevens besluiten genomen,
2 Zie ‘Richtlijnen voor het recht op dataportabiliteit’, Autoriteit Persoonsgegevens, p. 9.
3 Zie ‘Richtlijnen voor het recht op dataportabiliteit’, Autoriteit Persoonsgegevens, p. 15.
bijvoorbeeld over het toekennen van ritten en geldende tarieven. Verzoekers zijn voor hun inkomen hiervan in hoge mate afhankelijk.
Gebrek aan transparantie
28. Vast staat dat Uber in het verleden niet open en transparant is geweest over de verwerking van persoonsgegevens en zich schuldig heeft gemaakt aan verschillende ernstige overtredingen van het gegevensbeschermingsrecht. Dit is onder andere gebleken tijdens een gerechtelijke procedure tussen Uber London Limited (‘ULL’) en Transport For London (‘TFL’)4 over het verlengen van de ‘operator
licence’ van Uber.5 Uit de verklaring van Xxxxx Xxx Xxxxxxx, Interim Director van de afdeling Licensing, Regulation and Charging van TFL, komt naar voren dat Uber onder meer:
- verschillende softwareapplicaties gebruikte, Xxxxxxxx en Xxxxxx genaamd, om toezicht en handhaving te belemmeren en te verstoren. Via Greyball werd getracht de toegang tot de diensten te blokkeren voor overheidsfunctionarissen die in het kader van toezicht en handhaving hiervan gebruik wilden maken. Daarbij werd onder andere gebruik gemaakt van locatiegegevens en creditcardgegevens van deze overheidsfunctionarissen;
- locatiedata van passagiers verzamelde, ook nadat de rit met Uber was afgerond;
- gegevens van iPhones verzamelde, in strijd met de privacyrichtlijnen van Apple.
29. TFL noemt deze omstandigheden als een van de redenen voor haar besluit van 22 september 2017 om de licentie van Uber London Limited niet te vernieuwen.
30. In Nederland kreeg Uber in 2018 een boete van € 600.000 opgelegd door de Autoriteit
Persoonsgegevens voor het overtreden van de meldplicht datalekken.6
Gebrekkige reactie op AVG-verzoeken
31. Het blijkt in de praktijk voor chauffeurs erg lastig te zijn om volledige inzage in hun persoonsgegevens te krijgen. Uber biedt chauffeurs via haar website of de Uber Driver App de mogelijkheid om te verzoeken om inzage in hun persoonsgegevens. De reikwijdte van de inzagemogelijkheid is echter beperkt.
32. De reactie van Xxxx op inzageverzoeken is bovendien niet consistent. Chauffeurs ontvangen doorgaans slechts onvolledige informatie. Vaak gaat het slechts om een zeer beperkt deel van de categorieën van persoonsgegevens die Uber verwerkt en is de verleende inzage beperkt tot een periode van enkele maanden. Dit geldt ook voor de reacties die verzoekers van Uber hebben ontvangen.
33. Naar aanleiding van eerdere inzageverzoeken die via een advocaat zijn gedaan, heeft Xxxx een aantal keren wel meer uitgebreide informatie verstrekt. Uber heeft de verstrekte informatie in die gevallen toegelicht d.m.v. ‘Guidance Notes’ (productie 7) (the “Guidance notes”).
4 Transport For London is een toezichthouder die in het Verenigd Koninkrijk belast is met de handhaving van wet- en regelgeving voor de taxi-branche.
5 Witness Statement of Xxxxx Xxx Xxxxxxx in the Westminster Magistrates Court case between Uber Limited London (ULL) and Transport For London (TFL), p. 12, par. 44 – 46. Raadpleegbaar via xxx.xxxxxxx.xxx.xxx.xx.
6 xxxxx://xxxxxxxxxxxxxxxxxxxxxxxxxx.xx/xx/xxxxxx/xx-xxxx-xxxx-xxxxx-xx-xxxx-xx-xxxx-xxxxxx-xxxxxxx.
34. In de Guidance Notes noemt Uber de volgende gegevenscategorieën:
01 Driver and rider account profile information 02 Driver lifetime trip data
03 Rider lifetime trip data
04 Driver and Rider communications data 05 Driver communications data
06 Driver GPS data
07 Rider GPS data
08 Driver performance badges 09 Account Bliss tickets
10 Account Zendesk tickets
11 Driver and rider device data
12 Driver detailed device data
13 Rider detailed device data
14 Driver online/offline
15 Driver App restrictions
16 Driver star power requests
17 Ratings
18 Driver dispatches offered and accepted
19 Safety Complaints
20 Account call recordings
21 Driver trip status
22 Telematics
23 Driver cancellations from riders
24 Payment methods
25 Invoices
26 Driver documents
5. SCHENDINGEN VERPLICHTINGEN AVG DOOR UBER
35. Xxxx heeft in haar reactie op de AVG-verzoeken in verschillende opzichten niet voldaan aan de op haar rustende verplichtingen. Hieronder is dit nader toegelicht.
Onvolledige inzage in persoonsgegevens
Gegevenscategorieën Guidance Notes
36. Uit de Guidance Notes blijkt dat Xxxx een groot aantal verschillende categorieën van persoonsgegevens verwerkt. Verzoekers hebben in het grootste deel van deze gegevenscategorieën echter geen inzage gekregen.
Driver’s Profile
37. Daarnaast heeft Uber geen volledige inzage gegeven in het ‘Driver’s Profile’ van verzoekers (ook wel aangeduid als Partner’s Profile). Dat Uber een dergelijk profiel bijhoudt van chauffeurs blijkt uit interne notities van Xxxx, betreffende een andere chauffeur, die zijn opgenomen in Zendesk, de Customer Service Software van Uber (productie 10). De notities bevatten verschillende links die verwijzen naar de vindplaats van het driver’s profile op de systemen van Uber (Internal note, September 26, 2015, 19:35) (productie 10, p. 2).
38. In de Internal notes refereert de betreffende Uber-medewerker verschillende malen aan het Driver’s
Profile van de chauffeurl:
- “Please be aware of note on this driver’s profile” (Internal note, November 26, 2015, 01:39)
(productie 10, p. 1);
- “Assigning this to […] as noted on this driver’s profile” (Internal note, September 26, 2015, 19:35) (productie 10, p. 2);
- “Assigning to AS on partner’s profile, and notifying by email” (Internal note, August 20, 2015, 13:14 (productie 10, p. 3);
- “Profile mentions to send it on to […]” (Internal note, July 13, 2015, 04:38 (productie 10, p. 4);
- “I’ve assigned this to you, per the note on the partner’s profile”, Internal note, August 20, 2015, 13:49 (productie 10, p. 3.).
39. Uit deze interne notities blijkt dat medewerkers van Uber aantekeningen maken in het profiel van chauffeurs.
Tags en Reports
40. Uber heeft aan verzoekers geen inzage gegeven in de ‘tags’ en ‘reports’ die zij bijhoudt. Uit de notities in Zendesk, betreffende een andere chauffeur, blijkt echter dat Uber onder andere gebruik maakt van labels (‘tags’) voor ‘Inappropriate Behavior’ (productie 11A, notities van May 1, April 24, April 10, March 29 en February 14) en van een ‘police tag’ (productie 11B), p. 3, notitie van May 2, 2016).
41. Tot slot worden er in het systeem van Uber rapportages (‘Reports’) bijgehouden met betrekking tot de
volgende aspecten:
- ‘Navigation’ (Late Arrival/missed ETA);
- ‘Professionalism’ (Cancelled on rider, Inappropriate behavior, Attitude) (productie 11);
Gegevensverwerking Uber UK en Uber Technologies Inc.
42. Verzoekers vragen eveneens om informatie waaruit blijkt:
- welke categorieën van persoonsgegevens door Uber B.V. worden verstrekt aan in het Verenigd Koninkrijk gevestigde rechtspersonen, waaronder Uber Londen Ltd. (ULL) en Uber Britannia Ltd.;
- voor welke op verzoekers betrekking hebbende gegevensverwerkingen Uber Technologies Inc. optreedt als verwerkingsverantwoordelijke;
- welke categorieën van persoonsgegevens door Uber Technologies Inc. worden verwerkt en voor welke doeleinden;
- of persoonsgegevens van verzoekers aan Uber Technologies Inc. worden verstrekt dan wel op enige andere wijze buiten de Europese Economische Ruimte worden verwerkt en, zo ja, (i) op welke verwerkingsgrondslag, als bedoeld in art. 6 AVG, deze verstrekking gebaseerd is en (ii) welke passende waarborgen Uber B.V., uit hoofde van art 46 AVG, in dit kader heeft getroffen.
Onvolledige informatie over geautomatiseerde besluitvorming en profilering
43. Uber voert verschillende gegevensverwerkingen uit die moeten worden aangemerkt als geautomatiseerde besluitvorming en/of profilering in de zin van de AVG. Dit blijkt uit de
Privacyverklaring van Uber, waarin verschillende voorbeelden worden genoemd (productie 7, paragraaf ‘Geautomatiseerde besluitvorming’). De informatie in de Uber Privacyverklaring is echter zeer summier en algemeen geformuleerd, mede gezien het feit dat dit document niet enkel betrekking heeft op
chauffeurs, maar op alle gebruikers van Uber, waaronder passagiers, ‘Bezorgers’ en ‘Uber-partners’.
44. Dat de door Uber verstrekte informatie niet volledig is, blijkt onder andere uit verschillende functionaliteiten in de Driver App die informatie bieden over het rijgedrag, het gebruik van de telefoon tijdens de rit en het percentage geaccepteerde ritten (productie 10). De hier geboden informatie is het resultaat van een analyse van ‘beroepsprestaties’, ‘betrouwbaarheid’, ‘gedrag’, ‘locatie’ en
‘verplaatsingen’, als genoemd in art. 4 onderdeel 4 AVG en dient derhalve aangemerkt te worden als een vorm van ‘profilering’.
45. Verzoekers hebben naar aanleiding van hun inzageverzoek geen nadere informatie ontvangen over het bestaan van het bestaan van geautomatiseerde besluitvorming en/of profilering. Zij vragen daarom een aan Uber gericht bevel om deze informatie alsnog te verstrekken conform art. 15 lid 1 AVG, aanhef en onder h). Verzoekers wensen met name nadere informatie te ontvangen over geautomatiseerde besluitvorming en/of profilering waarbij (mede) gebruik wordt gemaakt van de gegevenscategorieën genoemd in Guidance Notes (productie 7), het Driver’s Profile en/of Tags en Reports.
Geen overdracht van persoonsgegevens
46. Verzoekers hebben Uber gevraagd om de hen betreffende gegevens, voor zover deze vallen binnen de reikwijdte van art. 20 AVG, te verstrekken in de vorm van een CSV-bestand. Verzoekers hebben echter slechts een zeer klein deel van de hen betreffende gegevens in dit formaat ontvangen.
6. TOELICHTING DWANGSOM
47. Verzoekers vragen om oplegging van een dwangsom ter hoogte van € 10.000. De hoogte van deze dwangsom is om verschillende redenen gerechtvaardigd. In de eerste plaats hebben verzoekers een groot belang bij inzage in en overdracht van de hen betreffende gegevens aangezien zij voor hun inkomen in hoge mate afhankelijk zijn van Uber.
48. In de tweede plaats is Uber in het verleden steeds, wereldwijd, systematisch in gebreke gebleven bij het conform de AVG verlenen van volledige en correcte inzage en het meewerken aan verzoeken tot overdracht van gegevens. De gerechtvaardigde belangen van tientallen miljoenen chauffeurs bij inzage en overdracht (zie randnr. 10) worden zodoende stelselmatig genegeerd.
49. Ten slotte dient de hoogte van de dwangsom gerelateerd te zijn aan de omzet en financiële draagkracht van Uber. Uber had in 2019 een wereldwijde omzet van 14 miljard dollar. De gevorderde dwangsom is in dit licht proportioneel te noemen.
REDENEN WAAROM:
Xxxxxxxxxx zich wenden tot Uw rechtbank met het eerbiedig verzoek:
- Verweerder te bevelen om, binnen een maand na betekening van de beschikking op dit verzoekschrift, althans een door Uw rechtbank te bepalen redelijke termijn, tegen een eventuele vergoeding van de kosten, aan Verzoekers in een gangbare elektronische vorm inzage te geven in:
(i) alle op hen betrekking hebbende persoonsgegevens die zij verwerkt, waaronder de persoonsgegevens zoals genoemd in de eerder verstrekte Guidance Notes, de persoonsgegevens in het Driver’s Profile, waaronder de aantekeningen van Uber medewerkers en persoonsgegevens in op verzoekers betrekking hebbende Tags en Reports;
(ii) de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens, de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties en de bewaartermijn voor deze gegevens;
(iii) indien sprake is van doorgifte aan een derde land of een internationale organisatie, de passende waarborgen inzake deze doorgifte welke Verweerder heeft getroffen overeenkomstig art. 46 AVG;
(iii) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4 bedoelde profilering, en ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor verzoekers.
- Verweerder te bevelen om, binnen een maand na betekening van de beschikking op dit verzoekschrift, althans een door Uw rechtbank te bepalen redelijke termijn, de door verzoekers aan Verweerder verstrekte persoonsgegevens in een gestructureerde, gangbare en machineleesbare vorm aan verzoekers te verstrekken, te weten als CSV-bestand, dan wel door middel van een Application Programming Interface (API), zodanig dat deze gegevens direct aan een andere verwerkingsverantwoordelijke kunnen worden doorgezonden;
- Verweerder te bevelen tot betaling van een dwangsom van € 10.000 (tienduizend euro), althans van een door uw rechtbank te bepalen dwangsom, voor iedere dag of deel daarvan dat Verweerder in gebreke blijft om geheel te voldoen aan een of meer van de onder I en II genoemde bevelen;
- Verweerder te veroordelen in de kosten van dit geding;
- de te geven beschikking uitvoerbaar bij voorraad te verklaren;
- een dag en uur te bepalen, waarop de behandeling van dit verzoekschrift zal aanvangen.
Advocaat
Deze zaak wordt behandeld door mr. dr. X.X. Xxxxx:
Ekker Advocatuur Xxxxxxxxxx 0X 0000 XX Xxxxxxxxx
T: x00 (0)0 00 00 00 35