Uber, dopo l’attacco hacker subìto il Garante privacy prepara le sanzioni

Uber, l’azienda di San Francisco che fornisce i servizi di trasporto automobilistico privato attraverso un’applicazione mobile mettendo in collegamento diretto passeggeri e autisti rischia una mazzata economica notevole dopo che il Garante italiano della Privacy ha scoperto diverse violazioni della compagnia statunitense sul trattamento dei dati personali dei clienti.

Tutto è nato quando Uber, nel 2017, ha subìto un attacco hacker che ha messo a nudo la fragilità del sistema informatico aziendale consentendo ai pirati di catturare numerosi dati personali degli utenti, soprattutto italiani.

E ora il Garante della Privacy italiano – che segnalerà la questione anche alle altre Autorità europee – ha avviato un procedimento sanzionatorio con il quale contesta a Uber diverse violazioni, come un’informativa incompleta, i dati personali dei clienti trattati senza un valido consenso e anche la mancata notifica della geolocalizzazione degli utenti.

L’istruttoria del Garante era stata aperta a fine 2017, non appena la sede americana della multinazionale – che fornisce un servizio di trasporto automobilistico privato attraverso una ”App” che collega direttamente passeggeri e autisti – aveva annunciato di aver subito un attacco informatico che aveva coinvolto i dati personali di milioni di persone, tra cui un numero molto elevato di italiani.

Nel corso delle ispezioni effettuate presso la sede italiana di Uber, volte ad accertare la portata nazionale dell’incidente di sicurezza, il cosiddetto “data breach“, sono emerse varie irregolarità riguardo al trattamento dei dati di utenti presenti nel nostro Paese.

Innanzitutto era stata fornita un’informativa privacy non corretta e incompleta.
Ad esempio, spiega il Garante della Privacy, diversamente da quanto indicato, il titolare del trattamento dei dati non è solo la società di diritto olandese Uber B.V. ma anche la capofila statunitense Uber Technologies Inc., in quanto entrambe condividono il potere decisionale in merito ai servizi offerti in Europa.

Nell’informativa, inoltre, non erano sufficientemente specificate le finalità del trattamento, i riferimenti ai diritti dell’interessato apparivano generici e lacunosi, e non era neppure chiaro se gli utenti fossero obbligati o meno a fornire i propri dati personali, né quali fossero le eventuali conseguenze in caso di diniego.

Il Garante della Privacy ha poi rilevato che la multinazionale statunitense ha trattato senza un idoneo consenso i dati dei passeggeri per poterli profilare sulla base di un indicatore di rischio frode.
Infine la società non ha rispettato l’obbligo di notificare all’Autorità il trattamento dei dati per finalità di geolocalizzazione, così come previsto dalla normativa in vigore prima del nuovo Regolamento Ue sulla protezione dei dati personali, il cosiddetto GDPR).

Alla luce degli esiti ispettivi, il Garante avvierà immediatamente un autonomo procedimento per contestare le violazioni amministrative già accertate. E, al fine di verificare la conformità al Regolamento Ue dei trattamenti attualmente posti in essere da Uber, copia del provvedimento del Garante italiano sarà trasmessa anche all’Autorità privacy olandese, capofila tra i Garanti europei per quanto riguarda i trattamenti transfrontalieri di dati effettuati da Uber.