Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
T 070 8888 500
autoriteitpersoonsgegevens.nl

UITSLUITEND PER AANGETEKEND E-MAILBERICHT XXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXX

Datum
3 maart 2026

Ons kenmerk
XXXX-XXXXX

Contactpersoon
XXXX-XXXXXXXXX
XXXX-XXXXXXXXXX
XXXX-XXXX

Uw kenmerk
XXXX-XXXXXXXXXX

Onderwerp
Beslissing op bezwaar

Geachte directie,

Hierbij ontvangt u het besluit van de Autoriteit Persoonsgegevens (AP) op uw bezwaarschrift van 19 februari 2024, aangevuld bij brieven van 2 april 2024 en 10 juli 2025. Het bezwaar is gericht tegen het besluit van de AP van 11 december 2023 (hierna: het boetebesluit), waarbij aan Uber Technologies Inc. en Uber B.V. (hierna tezamen: Uber) een boete is opgelegd van 10 miljoen euro (€ 10.000.000,--).1 De AP heeft naar aanleiding van uw bezwaar het boetebesluit heroverwogen en verklaart uw bezwaar ongegrond. Dit betekent dat de AP het boetebesluit handhaaft.

Het juridisch kader (bijlage 1) en het verslag van de hoorzitting (bijlage 2) treft u bijgevoegd aan bij dit besluit.

De AP licht haar besluit hieronder toe.

2/21

1. Aanleiding voor het boetebesluit

1. Uber is een internationaal opererend bedrijf dat onder meer fungeert als intermediair tussen taxichauffeurs en passagiers. Passagiers maken doorgaans gebruik van de algemene Uber-app op hun mobiele telefoon of via een internetbrowser om een rit aan te vragen. Voor de chauffeurs heeft Uber de Uber Driver-app (hierna: de chauffeurs-app) ontwikkeld, waarmee de chauffeurs aangeboden ritten kunnen accepteren of weigeren. De chauffeurs worden na een rit door hun klanten beoordeeld en worden door Uber uitbetaald voor de geleverde diensten.

2. Op 12 juni 2020 ontving de Franse privacytoezichthouder Commission Nationale de l’Informatique et des Libertés (CNIL) AVG-klachten van de Franse niet-gouvernementele organisatie Ligue des Droits de l’Homme et du Citoyen (LDH).2 De CNIL heeft de AVG-klachten doorgezonden aan de AP, waarna de AP een onderzoek is gestart naar mogelijke schendingen van de Algemene verordening gegevensbescherming (AVG).3 Naar aanleiding van dit onderzoek heeft de AP in het onderzoeksrapport van 30 juni 2022 geconcludeerd dat Uber vanaf 25 mei 2018 tot en met 30 juni 2022 in strijd heeft gehandeld met de AVG.4

3. De AP heeft bij brief van 8 juli 2022 het onderzoeksrapport en het voornemen om handhavend op te treden aan Uber toegezonden. Op dit voornemen heeft Uber haar zienswijze gegeven.5

4. Door de AP is vervolgens een ontwerp (boete)besluit opgesteld dat aan de Europese toezichthouders is voorgelegd, conform artikel 60 van de AVG. Tegen dit ontwerpbesluit zijn door de betreffende toezichthouders geen bezwaren ingediend. Dit besluit is vervolgens vastgesteld en op 11 december 2023 aan Uber toegezonden.

2. Het boetebesluit

5. De AP heeft bij boetebesluit van 11 december 2023 aan Uber twee bestuurlijke boetes opgelegd van in totaal € 10.000.000,-- wegens de volgende geconstateerde overtredingen: a) Onvoldoende naleving van de bepaling over het recht op inzage. De AP heeft geconcludeerd dat Uber de AVG-bepalingen over het recht op inzage onvoldoende heeft nageleefd, doordat de verwerkte persoonsgegevens werden aangeleverd in een CSV-bestand,6 waarbij geen uitleg werd gegeven over de structuur van dat bestand. Daarnaast is vastgesteld dat de toelichting die bij de reactie op het inzageverzoek werd gegeven (in de zogenaamde ‘guidance notes’) onvoldoende toegankelijk was, omdat deze uitsluitend in het Engels beschikbaar werd gesteld.7

2 Op 29 september 2020 heeft de LDH aanvullende klachten ingediend bij de CNIL. 3 De AP is in deze zaak als leidende toezichthouder aangemerkt omdat het Europese hoofdkantoor van Uber in Nederland is gevestigd. Volgens het zogenaamde 'one-stop-shop'-mechanisme, wordt het toezicht op grensoverschrijdende gegevensverwerkingen gecoördineerd door de toezichthouder in het land waar het bedrijf zijn hoofdvestiging binnen de EU heeft. 4 Het onderzoeksrapport is vastgesteld op 30 juni 2022. 5 Uber heeft bij brief van 15 september 2022 een schriftelijke zienswijze gegeven op het onderzoeksrapport en het voornemen tot handhaven. Op 12 januari 2023 heeft Uber haar zienswijze mondeling toegelicht. Daarvan is een verslag gemaakt dat als bijlage bij het boetebesluit is gevoegd. 6 CSV-bestand staat voor Comma-Separated Values-bestand In een CSV-bestand zijn waarden uit een tabel opgeslagen als regels tekst. De waarden worden gescheiden door leestekens. 7 Hierdoor was sprake van overtreding van artikel 12, eerste lid, van de AVG.

3/21

Voorts is geconcludeerd dat Uber betrokkenen onvoldoende heeft gefaciliteerd in het uitoefenen van hun recht op inzage, doordat het digitale formulier voor inzage en gegevensoverdraagbaarheid voor chauffeurs niet gemakkelijk genoeg te vinden was in de chauffeurs-app.8|

b) Onvoldoende naleving van de transparantievereisten De AP heeft geconcludeerd dat Uber in de privacyverklaring onvoldoende transparant is geweest met betrekking tot het verschaffen van informatie over: - de landen waarnaar de persoonsgegeven worden doorgegeven;9

- de bewaartermijnen;10

- het recht op gegevensoverdraagbaarheid.11

3. De bezwaargronden

6. Uber heeft bezwaar gemaakt tegen het boetebesluit. Samengevat heeft zij hierbij de volgende bezwaargronden aangevoerd: i. Er is geen sprake van een schending van de AVG, dus er is geen grond voor handhavend optreden. ii. De AP handhaaft (punitief) op basis van onduidelijke en nieuwe, specifieke normen. Dit is in strijd met het lex certa-beginsel. iii. De AP kon Uber geen boete opleggen omdat de AP niet heeft aangetoond dat Uber nalatig of opzettelijk handelde. iv. Het besluit om een bestuurlijke boete op te leggen is in strijd met het subsidiariteitsbeginsel, omdat zij in plaats van een boete, een minder ingrijpende instrumenten had kunnen inzetten. v. De bestuurlijke boete is in strijd met het evenredigheidsbeginsel. De AP legt de boete op zonder deze voldoende te motiveren en zonder rekening te houden met artikel 5:46 van de Algemene wet bestuursrecht (Awb). vi. De AP baseert de boete op de EDPB Richtsnoeren voor de berekening van administratieve geldboeten (hierna: de Richtsnoeren),12 terwijl deze niet van toepassing zijn op deze zaak. vii. De AP heeft het wettelijke maximumbedrag van de boete verkeerd berekend en heeft een verkeerd startbedrag als uitgangspunt genomen. viii. De hoogte van het boetebedrag is onvoldoende gemotiveerd. ix. De AP handelt in strijd met verschillende rechtsbeginselen door de verzachtende omstandigheden van artikel 83, tweede lid, AVG in andere zaken anders te wegen.

8 Hierdoor was sprake van overtreding van artikel 12, tweede lid, van de AVG. 9 Hierdoor was sprake van overtreding van artikel 13, eerste lid, aanhef en onder f, van de AVG. 10 Hierdoor was sprake van overtreding van artikel 13, tweede lid, aanhef en onder a, van de AVG. 11 Hierdoor was sprake van overtreding van artikel 13, tweede lid, aanhef en onder b, van de AVG. 12 EDPB Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG, vastgesteld op 24 mei 2023.

4/21

4. Beoordeling van uw bezwaar

7. De AP heeft met toepassing van artikel 7:11 van de Awb het boetebesluit heroverwogen en concludeert dat het boetebesluit, met in achtneming van de onderstaande motivering, dient te worden gehandhaafd.

8. In reactie op de bezwaargronden merkt de AP allereerst op dat veel bezwaargronden ook in de zienswijzefase zijn opgeworpen en dat daarop in het boetebesluit is gereageerd. De AP wijst daarom primair naar haar reactie in het boetebesluit. In aanvulling daarop wordt – met inachtneming van hetgeen Uber in bezwaar naar voren heeft gebracht – het volgende overwogen.

De naleving van de bepaling over het recht op inzage

Vereisten van informatieverstrekking bij de uitoefening van rechten 9. Uber stelt zich op het standpunt dat geen sprake is van een overtreding op het recht van inzage. In dit kader heeft Uber aangevoerd dat zij chauffeurs altijd heeft gefaciliteerd in de uitoefening van hun recht op inzage. Daarnaast is de AP, volgens Uber, ten onrechte voorbijgegaan aan de modaliteiten die zij buiten de chauffeurs-app heeft geboden. Voorts meent Uber dat de informatie in CSV-bestanden gemakkelijk toegankelijk is voor de chauffeurs en dat zij op basis van de AVG niet gehouden is om informatie te verschaffen over hoe de betrokkene het CSV-bestand in tabelvorm kan openen.

10. De AP volgt Uber niet in haar bezwaren en wijst op artikel 12, eerste lid, van de AVG waarin – samengevat – is bepaald dat de verwerkingsverantwoordelijke passende maatregelen moet treffen zodat de betrokkene de vereiste informatie13 en communicatie14 ontvangt in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm, alsmede in duidelijke en eenvoudige taal. De AVG stelt dus eisen aan de vorm (die moet beknopt, transparant, begrijpelijk en gemakkelijk toegankelijk zijn) en aan de taal waarin wordt gecommuniceerd (die moet duidelijk en eenvoudig zijn).

Ten aanzien van de vorm 11. De AP heeft in het onderzoeksrapport vastgesteld dat Uber de door betrokkenen gevraagde informatie naar aanleiding van een inzageverzoek aanlevert door middel van een CSV-bestand. In een CSV-bestand zijn waarden uit een tabel niet opgeslagen in kolommen, maar als regels tekst. Die tekst wordt gescheiden door leestekens, zoals in het volgende voorbeeld waarin de kolomtitels worden getoond: 15

Voor het in begrijpelijke vorm weergeven van een CSV-bestand heeft een gebruiker een spreadsheetprogramma nodig, waarin de gegevens in rijen en kolommen worden getoond.16 Dit is echter niet altijd zonder nadere actie het geval .Wanneer in CSV-bestanden tussen de waarden als scheidingsteken een komma wordt gebruikt, dan moet een betrokkene in sommige

13 Zoals bedoeld in de artikelen 13 en 14 van de AVG. 14 Zoals bedoeld in de artikelen 15 tot en met 22 en artikel 34 van de AVG. 15 Zie onderzoeksrapport, p. 11. 16 Iedere rij stelt een record of een inzageverzoek voor en elke kolom geeft een type persoonsgegevens weer (zoals naam, datum, ritgegevens, etc.).

5/21

spreadsheetprogramma’s,17 bepaalde instellingen aanpassen of andere stappen zetten om het bestand goed als tabel te kunnen laten weergeven. Dit was ook het geval bij chauffeurs die een inzageverzoek deden bij Uber. Doordat in sommige landen, waaronder Nederland en Frankrijk, gebruikt wordt gemaakt van de komma als decimaalscheidingsteken, is de komma niet automatisch ook bruikbaar als lijstscheidingsteken. Dit zorgt ervoor dat een bestand met komma’s als scheidingstekens dus doorgaans niet direct goed kan worden geopend met een willekeurig spreadsheetprogramma.18 Dat een CSV-bestand niet automatisch in tabelvorm opent in applicaties met een Windows-besturingssysteem, is door Uber ook erkend. De AP heeft in het boetebesluit vastgesteld dat Uber geen informatie of instructies heeft verstrekt over hoe een CSV-bestand gestructureerd (overzichtelijk) kan worden weergegeven in het geval het bestand niet automatisch als tabel wordt geopend. Betrokken chauffeurs moesten in dat geval zelf uitzoeken hoe de informatie uit het bestand te halen is. De verstrekte informatie is door Uber dus niet in een vorm aangeboden die voor de betrokkenen begrijpelijk en gemakkelijk toegankelijk is.

12. Wanneer een chauffeur de in de CSV-bestanden verstrekte informatie niet volledig kan begrijpen, dan betekent dit dat de informatie onvoldoende transparant is. Dit volgt uit de Richtsnoeren inzake transparantie19 en jurisprudentie.20 Het enkel verstrekken van ruwe data in een technisch formaat dat voor de gemiddelde chauffeur zonder aanvullende handelingen of uitleg onleesbaar is, vormt een evidente belemmering van de effectieve uitoefening van het inzagerecht. De AP introduceert hiermee geen nieuwe criteria, zoals Uber stelt, maar toetst de feitelijke wijze van informatieverstrekking aan de kern van de wettelijke norm, waarvan de strekking voor Uber — mede gelet op de Richtsnoeren inzake transparantie — kenbaar had moeten zijn.

13. Alhoewel de wijze waarop de verwerkingsverantwoordelijke met de betrokkene over zijn verzoek om inzage communiceert vormvrij is, betekent dat nog steeds dat hierbij (minimum)eisen zijn gesteld waaraan de informatie of communicatie moet voldoen.

14. Uber heeft voorts nog aangevoerd dat er voldoende andere spreadsheetprogramma’s21 voorhanden zijn waarmee de bestanden ook op een PC automatisch in gestructureerde vorm kunnen worden geopend. De AP constateert echter dat deze informatie door Uber niet met de betrokken chauffeurs werd gedeeld. Het aanbieden van informatie in bestandsformaten, zonder instructies of toelichting te geven over hoe de informatie uit het bestand gehaald kan worden, doet afbreuk aan het recht van betrokkene om effectief zijn rechten te kunnen uitoefenen.22 Door geen informatie te verstrekken over hoe de informatie uit de CSV-bestanden overzichtelijk kan worden weergegeven als het bestand niet automatisch in tabelvorm wordt geopend,23 is Uber nalatig geweest in haar verplichting om de informatie in een gemakkelijk toegankelijke vorm te verstrekken. Hiermee heeft Uber in strijd gehandeld met artikel 12, eerste lid, van de AVG.

17 Zoals het spreadsheetprogramma Microsoft Excel. 18 Zie boetebesluit p. 7 en onderzoeksrapport p. 12. 19 De Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679. 20 HvJEU 4 mei 2023, ECLI:EU:2023:369, Österreichische Datenschutzbehörde, zie o.m. r.o. 37 en 38. Zie ook Rechtbank Amsterdam, 4 juli 2024, ECLI:NL:RBAMS:2024:4019, r.o. 4.16, waarin de rechtbank erop wijst dat de verstrekte informatie transparant en begrijpelijk moet zijn. 21 Uber noemt daarbij ONLYOffice en LibreOffice. 22 Dit volgt ook uit overweging 59 AVG waarin erop gewezen wordt dat er regelingen voorhanden moeten zijn “om de betrokkene in staat te stellen zijn rechten uit hoofde van deze verordening gemakkelijker uit te oefenen”. 23 Deze informatie was ook niet opgenomen in de guidance notes. In de guidance notes wordt door Uber onder meer toegelicht waar de termen in de .csv-bestanden voor staan.

6/21

Ten aanzien van de taal 15. De AP heeft vastgesteld dat Uber bij het aanleveren van het CSV-bestand aan de chauffeurs24 “Guidance notes” verstrekt in de Engelse taal. De Guidance notes kunnen echter pas worden benut (voor de betrokken chauffeurs) wanneer het de betrokkene is gelukt om de informatie in het CSV-bestand overzichtelijk in tabelvorm weer te geven (zie hiervoor). In de Guidance notes wordt uitleg gegeven over de waarden die in de CSV-bestanden zijn vermeld. Per subcategorie en per bestand wordt vermeld wat de kolomtitels betekenen en wat de informatie uit de tabel inhoudt.25 Het document geeft in 26 pagina’s uitleg over de verschillende zeer specifieke tabelwaarden, zoals telematische gegevens en diverse apparaatgegevens. Die informatie is essentieel om de verwerkte persoonsgegevens te kunnen begrijpen.

16. Op grond van artikel 12, eerste lid, van de AVG dient de verwerkingsverantwoordelijke passende maatregelen te nemen om ervoor te zorgen dat de betrokkene de informatie begrijpt. De informatie moet in duidelijke en eenvoudige taal aan hem worden verstrekt. Onder duidelijke en eenvoudige taal wordt verstaan dat onbepaalde taal dient te worden vermeden en dat de verstrekte informatie concreet en definitief moet zijn.26 De eis om duidelijke en eenvoudige taal te gebruiken houdt nauw verband met de begrijpelijkheid. Om de informatie begrijpelijk te maken moet Uber dus rekening houden met het niveau van taalvaardigheid van de doelgroep.27

17. Nu de aspirant chauffeurs eerst een examen moeten afleggen waarin onder meer wordt getoetst of deze de Engelse taal beheerst op A2-niveau, conform het Common European Framework of Reference for Languages (CEFR), gaat de AP ervan uit dat de chauffeurs (de doelgroep) de Engelse taal op (minimaal) A2 niveau zouden moeten beheersen. Voor het lezen en begrijpen van een tekst op A2-niveau geldt conform het CEFR dat personen die beschikken over basiskennis van de taal vooral veelvoorkomende, eenvoudige woorden kennen en kunnen gebruiken. Dit niveau richt zich op korte zinnen met alledaagse woorden en eenvoudig taalgebruik zonder jargon of specifieke vaktermen.

18. Wanneer het gebruik van een (vreemde) taal (Engels) ertoe leidt dat de beoogde doelgroep (zoals bijvoorbeeld de Franse chauffeurs) de informatie niet of onvoldoende kan begrijpen, rust op de verwerkingsverantwoordelijke de verplichting om passende maatregelen te nemen. De wettelijke eis om ‘duidelijke en eenvoudige taal’ te gebruiken, zoals vastgelegd in artikel 12, eerste lid, AVG, staat in direct verband met de vereiste begrijpelijkheid28 en dwingt de verwerkingsverantwoordelijke om de informatievoorziening af te stemmen op de specifieke doelgroep. Voor Uber was het voorzienbaar dat een aanzienlijk deel van de betrokken chauffeurs het Engels niet als moedertaal beheerst. Ook door het gebruik van jargon en complexe zinsconstructies was de informatie niet toegankelijk voor betrokkenen met een beginnend taalvaardigheidsniveau (A2-niveau) in de Engelse taal.29 Door geen gebruik te maken van

24 Het gaat om chauffeurs uit verschillende Europese landen. 25 Zie het onderzoeksrapport p. 13. 26 Zie de Richtsnoeren inzake transparantie, onder 8-12. Zie ook de overwegingen van de AVG 39 en 58. 27 Zie Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, paragraaf 13-14. 28 Zie Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, paragraaf 9 en de uitspraak van de rechtbank Amsterdam van 4 juli 2024, ECLI:NL:RBAMS:2024:4019. 29 In dit verband kan gewezen worden op termen als “referral code”, “fleet status”, “convenience”, “dispatches”, “tematics data”, “longitude”, “lattitude”, “surge”. Daarnaast wordt gedoeld op zinnen als: “Latitude of the beginning of the trip. For driver/rider canceled trips, this reflects latitude part of coordinates of driver at the time trip was accepted”, “Client Surge multiplier of the trip (Note: "1" if no surge)”, “The fraction of braking events on the trip that were deemed to be harsh brake”, “The max magnitude, in meters per second squared, of the peak brake on each braking event”, “Latitude of the beginning of the trip. For driver/rider canceled trips, this reflects latitude part of coordinates of driver at the time trip was accepted”, “Client Surge multiplier of the trip (Note: "1" if no surge)”, “If

7/21

duidelijke eenvoudige taal – en er geen of onvoldoende rekening mee te houden dat Engels niet de moedertaal is van het merendeel van de chauffeurs – waren de door Uber verstrekte Guidance notes onvoldoende duidelijk. Gelet op het taalvaardigheidsniveau van deze chauffeurs had Uber er op z’n minst voor moeten zorgen dat de informatie in hun lokale taal beschikbaar was.30 Door dit na te laten heeft Uber onvoldoende maatregelen genomen om ervoor te zorgen dat de betrokkene de informatie in de Guidance notes in duidelijke en eenvoudige taal ontving. Uber heeft hiermee gehandeld in strijd met artikel 12, eerste lid, van de AVG.

De verplichting tot facilitering van het inzagerecht 19. Op grond van artikel 12, tweede lid AVG is een verwerkingsverantwoordelijke verplicht om de betrokkene te faciliteren bij de uitoefening van zijn of haar rechten uit hoofde van de artikelen 15 tot en met 22 van de AVG.31 De door een verwerkingsverantwoordelijke aan een betrokkene geboden regeling om zijn of haar rechten uit te oefenen dient daarbij passend te zijn voor de context en de aard van de betrekking en interacties tussen de verwerkingsverantwoordelijke en een betrokkene.32

20. De AP stelt vast dat (Franse) chauffeurs erover hebben geklaagd dat zij het formulier om een inzageverzoek te kunnen indienen niet, of moeilijk, konden vinden. In dit verband is tijdens het onderzoek door de AP vastgesteld dat de chauffeurs acht tot negen33 handelingen moesten verrichten34 en vijf verschillende menu’s moesten doorlopen om een inzageverzoek te kunnen indienen.35 Daarnaast ontbrak een instructie die uitlegt hoe de chauffeurs dit formulier precies kunnen bereiken. De AP stelt vast dat de chauffeurs-app van Uber derhalve niet gebruiksvriendelijk was ingericht en het voor betrokken chauffeurs onvoldoende eenvoudig was om via de chauffeurs-app een inzageverzoek in te dienen. Uber had de chauffeurs-app zó moeten inrichten dat het voor de chauffeurs duidelijk was hoe zij gebruik konden maken van hun rechten. Het gelaagd aanbieden van informatie op een applicatie is weliswaar toegestaan, maar mag er niet toe leiden dat het formulier voor betrokken moeilijk te vinden is waardoor zij hun rechten niet goed konden uitoefenen. Door hierin onvoldoende faciliterend op te treden, heeft Uber in strijd gehandeld met artikel 12, tweede lid, van de AVG.

21. Uber heeft in bezwaar naar voren gebracht dat zij, naast de chauffeurs-app, ook andere mogelijkheden (alternatieve routes)36 had opengesteld om betrokkenen te faciliteren in het uitoefenen van hun rechten. Het enkele feit dat Uber alternatieve wegen heeft opengesteld, doet niet af aan de geconstateerde overtreding. Aangezien de interactie tussen Uber en de chauffeurs hoofdzakelijk via de chauffeurs-app verloopt, had Uber de uitoefening van het inzagerecht juist ook binnen die app op een afdoende wijze moeten faciliteren.

rewindtrip was used by the driver, timestamp of the rewind in local time”, “Surge multiplier associated with the guaranteed surge incentive applied to a trip. It is the actual payable multiplier applied and not available multiple from the incentive campaign.”

30 Uber dient de informatie beschikbaar die is afgestemd op de doelgroep. Dit volgt ook uit de Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, paragraaf 13-14. 31 Uit hoofde van de artikelen 15 tot en met 22 van de AVG 32 Zie ook Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, paragraaf 55. 33 De AP merkt op dat het formulier zonder authenticatie dus een stap eerder bereikbaar is dan met authenticatie. Dit leidt echter wel weer tot meer vragen na het bereiken van het formulier en tot meer vragen na het indienen van een verzoek. 34 Zie onderzoeksrapport paragraaf 2.2.1. 35 Namelijk: “Menu, Help, Account and app issues, Legal concerns, Request your personal Uber data” 36 Zie, voor de omschrijving van de verschillende routes, het boetebesluit p. 5

8/21

De naleving van de informatieplicht (de transparantieverplichting) 22. De AP heeft in het boetebesluit, samengevat, geconcludeerd dat Uber onvoldoende transparant is geweest met betrekking tot (1) de verstrekte informatie over de doorgifte van persoonsgegevens, (2) de toegepaste bewaartermijnen en (3) het recht op gegevensoverdraagbaarheid. Uber stelt zich op het standpunt37 dat de AP uitgaat van een verkeerde interpretatie van de AVG en dat zij in haar privacyverklaringen steeds de vereiste informatie heeft verstrekt.

Informatie over doorgifte van persoonsgegevens 23. Op grond van artikel 13, eerste lid, aanhef en onder f, van de AVG moet de verwerkingsverantwoordelijke betrokkenen onder meer informeren indien hij het voornemen heeft om de persoonsgegevens door te geven aan een derde land. Voorts vereist dit artikel dat de betrokkene erover moet worden geïnformeerd of er al dan niet een adequaatheidsbesluit van de Commissie bestaat, welke de passende of geschikte waarborgen zijn en hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd.

24. De verstrekte informatie moet, in overeenstemming met het behoorlijkheidsbeginsel, ‘zo betekenisvol mogelijk’ zijn.38 Wil een betrokkene weten aan welke landen zijn persoonsgegevens doorgegeven worden, dan brengt het voorgaande met zich dat de betrokkene geïnformeerd moet worden over het land waaraan zijn gegevens worden doorgegeven. Ter toelichting hierop kan nog worden opgemerkt dat het verstrekken van deze informatie voor betrokkene essentieel is om de regie over zijn eigen gegevens te behouden. Voor chauffeurs kan deze informatie zelfs van cruciaal belang zijn om persoonlijke veiligheidsrisico’s in specifieke landen te vermijden. In het boetebesluit is vastgesteld dat de verschillende versies van de privacyverklaring hierin tekort zijn geschoten.39 Hoewel Uber hierin wel vermeldde dat persoonsgegevens aan derde landen werden doorgegeven, ontbrak de informatie over het specifieke land waarnaar de gegevens werden verstuurd. Tevens ontbrak informatie over de getroffen waarborgen. Hierdoor heeft Uber niet voldaan aan zijn informatieverplichting, zoals bedoeld in het vorengenoemde artikel. Daarnaast heeft zij de betrokken chauffeurs er niet over geïnformeerd of er al dan niet een adequaatheidsbesluit van de Commissie bestaat, en hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd. Door dit na te laten heeft Uber in strijd gehandeld met artikel 13, eerste lid, aanhef en onder f, van de AVG. Dit artikel staat geen andere uitleg toe. Naar het oordeel van de AP is de norm dan ook voldoende duidelijk en kenbaar. Uber had op basis van deze bepaling kunnen, en moeten voorzien, dat de verstrekte informatie onvoldoende was.

25. Dat in artikel 13, tweede lid van de AVG een nadere invulling wordt gegeven aan het behoorlijkheidsbeginsel40 laat – in tegenstelling tot wat Uber stelt – de algemene gelding van dit beginsel voor het eerste lid onverlet.41 Het tweede lid dient immers niet ter beperking of uitleg van het eerste lid, maar vormt een zelfstandige aanvulling op de informatieverplichtingen die daaruit voortvloeien.

37 Zowel in bezwaar als eerder in haar zienswijze in de primaire fase. 38 Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, pagina 44. 39 Namelijk die van 25 mei 2018, 12 november 2019,1 september 2021 en de bij de zienswijze verstrekte privacyverklaring van 13 juni 2022 (dossierstuk 25).

40 Van artikel 5, eerste lid, onder a, AVG. 41 Zie ook overweging 60 bij de AVG waarin het behoorlijkheidsbeginsel wordt genoemd in verband met verplichtingen uit het eerste lid van artikel 13 AVG.

9/21

26. Uber heeft voorts gesteld dat het, gelet op de miljoenen reizende passagiers en alle toekomstige bewegingen van die passagiers en chauffeurs, voor Uber praktisch onmogelijk is om vast te stellen naar welke specifieke landen de gegevens worden doorgegeven. Naar het oordeel van de AP ontslaat dit Uber – mede gelet op de (potentieel) grote belangen van betrokken chauffeurs42 – echter niet van haar verplichting om aan haar informatieverplichting te voldoen. Uber had haar bedrijfsactiviteiten zo moeten inrichten, dat zij aan de eisen van de AVG voldoet.

Informatie over bewaartermijnen 27. Op grond van artikel 13, tweede lid, aanhef en onder a, van de AVG moet de verwerkingsverantwoordelijke, om een behoorlijke en transparante verwerking te waarborgen, de betrokkene informatie verstrekken over de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of, indien dat niet mogelijk is, de criteria ter bepaling van die termijn.

28. De AP heeft in het boetebesluit geconcludeerd dat Uber, gelet op de onderliggende feiten en omstandigheden, mocht volstaan met het vermelden van de criteria ter bepaling van de bewaartermijn.43

De door Uber verstrekte informatie was echter onvoldoende concreet en te algemeen van aard. Door geen voldoende specifieke criteria te noemen en slechts in algemene zin te vermelden dat persoonsgegevens worden bewaard ‘zolang dit noodzakelijk is voor bepaalde doeleinden’, wordt de betrokkene feitelijk in het ongewisse gelaten over de duur van de gegevensverwerking. Dergelijke vage bewoordingen stellen een betrokkene niet in staat om de bewaartermijn zelf te bepalen of de rechtmatigheid daarvan te toetsen. Nu Uber heeft nagelaten om specifieke en toetsbare criteria te verstrekken, heeft zij niet voldaan aan de informatieverplichting uit artikel 13, tweede lid, aanhef en onder a, van de AVG.

29. De stelling van Uber dat de AP, wat betreft deze bepaling, geen overtreding kan vaststellen voor de periode 15 oktober 2020 tot 1 september 2021, volgt de AP niet. Uber heeft, zoals eerder in de primaire fase, aangevoerd dat in deze periode de privacyverklaring van 15 oktober 2020 gold en dat daarin onder andere meerdere concrete en betekenisvolle voorbeelden zijn opgenomen waarmee Uber vollediger is geweest en de bewaartermijnen inzichtelijk heeft gemaakt. Uber heeft in de bezwaarfase geen nieuwe feiten of omstandigheden aangevoerd ten opzichte van hetgeen zij al in haar zienswijze naar voren had gebracht. Zoals de AP reeds voldoende gemotiveerd heeft in het boetebesluit,44 heeft Uber ook met de aangepaste tekst in de privacyverklaring van 15 oktober 2020 onvoldoende inzicht gegeven in de bewaartermijnen, omdat zij geen specifieke en toetsbare criteria heeft vermeld. Hierdoor worden de chauffeurs niet in staat gesteld om te achterhalen welke bewaartermijn Uber hanteert voor hun individuele situatie.45

30. De AP heeft derhalve terecht geconcludeerd dat Uber in strijd heeft gehandeld met artikel 13, tweede lid, aanhef en onder a, van de AVG.

42 Zoals reeds vermeld in randnummer 24. 43 In de privacyverklaring van 1 september 2021 noemt Uber weliswaar een bewaartermijn van zeven jaar, maar deze termijn is niet voldoende concreet geformuleerd (het betreft alleen een minimale bewaartermijn en geldt 'in het algemeen' waarbij niet duidelijk is onder welke omstandigheden deze termijn al dan niet van toepassing is) en heeft uitsluitend betrekking op die gevallen waarin een verzoek tot verwijdering van een account is gedaan. 44 Zie het boetebesluit van 11 december 2023, p. 10 45 In de betreffende privacyverklaring wordt weliswaar een minimale termijn van zeven jaar genoemd, maar deze termijn is niet voldoende concreet geformuleerd (het betreft alleen een minimale bewaartermijn en geldt 'in het algemeen' waarbij niet duidelijk is onder welke omstandigheden deze termijn al dan niet van toepassing is) en heeft uitsluitend betrekking op die gevallen waarin een verzoek tot verwijdering van een account is gedaan.

10/21

Informatie over gegevensoverdraagbaarheid 31. Op grond van artikel 13, tweede lid, aanhef en onder b, van de AVG moet de verwerkingsverantwoordelijke aan betrokkene informatie verstrekken over zijn recht om de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking. Voorts dient de verwerkingsverantwoordelijke de betrokkene te informeren over het recht om tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid.

32. De AP heeft in het boetebesluit geconcludeerd dat Uber heeft nagelaten om betrokkenen in de privacyverklaring te informeren over het recht op gegevensoverdraagbaarheid. Uber stelt zich op het standpunt dat zij wel heeft geïnformeerd over het recht op gegevensoverdraagbaarheid en heeft aangevoerd dat zij dit in de privacyverklaring aanduidt met de term 'receiving data'. Zoals de AP ook in het boetebesluit heeft geconcludeerd, is het voor betrokkenen onvoldoende duidelijk dat hiermee wordt bedoeld dat zij een verzoek kunnen doen tot overdracht van hun gegevens en daarmee een belangrijk recht uit de AVG kunnen uitoefenen. Dit valt immers niet op te maken uit de term ‘receiving data’, wat letterlijk betekent ‘te ontvangen gegevens’. Met het ontvangen van de persoonsgegevens die door Uber worden verwerkt kan immers ook bijvoorbeeld ‘het gevolg geven aan het recht op inzage op grond van artikel 15 van de AVG’ worden verstaan, of iets anders. De op de verwerkingsverantwoordelijke rustende verplichting om betrokkenen conform de AVG te informeren over het recht op gegevensoverdraagbaarheid, brengt inherent met zich mee dat dit recht separaat en expliciet moet worden benoemd.46 Het enkel opnemen van een algemene verwijzing naar de rechten van betrokkenen volstaat niet, aangezien de betrokkene concreet moet worden geïnformeerd over de rechten die in zijn specifieke situatie van toepassing zijn.

33. Doordat Uber heeft nagelaten het recht op gegevensoverdraagbaarheid separaat en expliciet te benoemen, heeft zij artikel 13, tweede lid, aanhef en onder b, van de AVG overtreden. De overtreding is met ingang van 3 november 202247 beëindigd, aangezien Uber vanaf deze datum het recht op gegevensoverdraagbaarheid wel expliciet in haar privacyverklaring heeft benoemd.

Lex certa-beginsel / legaliteitsbeginsel 34. Uber stelt zich op het standpunt dat de AP geen bestuurlijke boete kan opleggen omdat het lex certa-beginsel zich daartegen verzet. Volgens Uber toetst de AP haar handelen aan onduidelijke en specifieke niet-uitgekristalliseerde criteria. Ook zou de AP nieuwe onvoorziene criteria introduceren voor de naleving van artikel 12 en artikel 13 van de AVG. Volgens Uber handelt de AP hiermee met het legaliteitsbeginsel. De AP volgt Uber niet in haar standpunt dat er sprake zou zijn van strijd met het lex certa-beginsel.

35. Het lex certa beginsel48 vereist dat strafbepalingen duidelijk en begrijpelijk omschreven zijn.49 Daarmee wordt echter niet uitgesloten dat de wetgever verboden gedragingen soms met een zekere vaagheid,

46.Zie ook de tabel in de bijlage bij de Richtsnoeren inzake transparantie, onder artikel 13, lid 2, onder b, AVG. 47 Vanaf 3 november 2022 voldoet Uber met de privacyverklaring aan haar transparantieverplichtingen. 48 Dat onder meer besloten ligt in artikel 49, eerste lid, van het Handvest van de grondrechten van de EU. 49 Volgens vaste jurisprudentie verlangt het lex certa-beginsel van de wetgever dat hij met het oog op de rechtszekerheid op een zo duidelijk mogelijke wijze de verboden gedragingen omschrijft. Zie bijvoorbeeld de uitspraak van de ABRvS van 10 augustus 2023, ECLI:NL:RBAMS:2023:5074 en de uitspraak van 17 april 2019, ECLI:NL:RVS:2019:1235.

11/21

bestaande uit het gebruik van algemene termen, moet omschrijven om te voorkomen dat gedragingen die strafwaardig zijn buiten het bereik van die omschrijving vallen. Die vaagheid kan onvermijdelijk zijn om de overzichtelijkheid van de wetgeving te bewaren en om effectief te kunnen reageren op toekomstige technologische ontwikkelingen en bijbehorende schendingen van de te beschermen belangen.50

36. Tegen deze achtergrond kan niet worden gezegd dat de invulling van de normen van artikel 12 en 13 van de AVG voor Uber onduidelijk of onvoorzienbaar is geweest. Hoewel deze bepalingen open normen bevatten, bieden de tekst van de verordening en de context waarbinnen deze functioneert voldoende houvast voor een professionele partij als Uber om haar handelen hierop af te stemmen. Dit heeft de AP hiervoor ook duidelijk toegelicht.

De verwijtbaarheid 37. Uber heeft zich voorts op het standpunt gesteld dat de AP geen boete mocht opleggen omdat zij niet opzettelijk of nalatig heeft gehandeld. Volgens Uber moet de AP bewijzen dat Uber opzettelijk of uit nalatigheid heeft gehandeld. Uber benadrukt dat zij te goeder trouw heeft gehandeld en niet wist van enig inbreuk makend karakter van haar gedrag.

38. De AP ziet in hetgeen Uber hierover naar voren heeft gebracht geen aanleiding om van het opleggen van een boete af te zien. Dit licht de AP hieronder toe.

39. Zoals hiervoor is vastgesteld, moet geconcludeerd worden dat Uber in strijd heeft gehandeld met het inzagerecht51 en is zij onvoldoende transparant geweest door onvoldoende informatie aan betrokkenen te verstrekken.52 Een inbreuk op deze bepalingen kan op grond van artikel 83, tweede lid, van de AVG worden beboet wanneer de verwerkingsverantwoordelijke verwijtbaar – dat wil zeggen opzettelijk of uit nalatigheid – de bepalingen van de AVG schendt.53 Dit is ook verankerd in artikel 5:41 Awb, waarin het schuldbeginsel als voorwaarde voor punitieve sanctionering is neergelegd. Bij de invulling van dit schuldbeginsel is in de rechtspraak gepreciseerd dat een verwerkingsverantwoordelijke met een boete kan worden gestraft wanneer hij niet onkundig kon zijn van het feit dat zijn gedraging een inbreuk opleverde, ongeacht of hij zich ervan bewust was dat hij de bepalingen van de AVG schond. 54 Aan dit laatste criterium is in deze zaak voldaan. Van een professionele en kapitaalkrachtige onderneming als Uber, die kan beschikken over uitgebreide juridische expertise, mag worden verwacht dat zij zich volledig laat informeren over haar verplichtingen op grond van de AVG. Gelet op de duidelijke bepalingen omtrent het recht op inzage en de verplichting om informatie te verstrekken over de landen van doorgifte, de bewaartermijnen en het recht op gegevensoverdraagbaarheid, moet geconcludeerd worden dat Uber niet onkundig kon zijn van het feit dat haar handelen dan wel nalaten een inbreuk op de AVG vormde. Bovendien kan bij overtreding van de wet geen ontheffing van straf volgen op basis van het argument dat men de wet niet kende of, anders gezegd, men te goeder trouw was.

40. Nu Uber is tekortgeschoten in de zorgvuldigheid die zij als verwerkingsverantwoordelijke in het maatschappelijk verkeer dient te betrachten, zijn de overtredingen haar volledig aan te rekenen. Er is geen

50 Zie de uitspraken van de ABRvS van 17 april 2019, ECLI:NL:RVS:2019:1235 en ABRvS 4 november 2020, ECLI:NL:RVS:2020:2631. 51 Zoals bedoeld in artikel 12, eerste en tweede lid, van de AVG. 52 Zoals bedoeld in artikel 13, eerste lid, aanhef en onder f, en tweede lid, aanhef en onder a en b, van de AVG 53 Zie de uitspraak HvJ-EU 5 december 2023, C-683/21, ECLI:EU:C:2023:950 (Deutsche Wohnen), r.o. 68 en 75. 54 Zie de uitspraak HvJ-EU 5 december 2023, C-683/21, ECLI:EU:C:2023:950 (Deutsche Wohnen), r.o. 76.

12/21

sprake van een situatie waarin elke vorm van verwijtbaarheid ontbreekt.55 De AP is dan ook bevoegd om een boete op te leggen.

De boete

41. Nu de AP heeft vastgesteld dat zij bevoegd is om een boete op te leggen, dient zij vervolgens, in het kader van de volledige heroverweging van het boetebesluit, te beoordelen of de boete nog steeds passend en geboden is. De AP baseert de boete op de Richtsnoeren. Het standpunt van Uber dat in het onderhavige geval de Boetebeleidsregels 201956 gelden, volgt de AP niet. Hierop zal onder randnummer 78 en verder nader worden ingegaan. De jaaromzet 42. Uber heeft gesteld dat de AP de boete verkeerd heeft berekend. In dat kader heeft zij in de eerste plaats aangevoerd dat de AP ten onrechte de omzet van de hele ondernemingsgroep heeft meegenomen. Volgens Uber had de AP zich, bij de vaststelling van het maximumbedrag, onder artikel 83, vijfde lid, van de AVG, moeten beperken tot de jaaromzet van de unitaire organisatie die kan meewerken aan een inbreuk. Dit volgt volgens Uber uit het Sumal-arrest.57 Uber heeft gesteld dat de AP ten onrechte de wereldwijde jaaromzet van de onderneming heeft gebruikt voor de berekening van het startbedrag en dat , voor de berekening van het wettelijke maximum, enkel de omzet had mogen worden betrokken die direct voortkomt uit het aanbieden van de Uber Rides-diensten. De AP volgt Uber hierin niet en licht dit hieronder toe.

43. Zoals reeds in het boetebesluit is opgemerkt, komt het begrip ‘onderneming’ uit artikel 83, vierde tot en met zesde lid, van de AVG overeen met het begrip ‘onderneming’ in de zin van de artikelen 101 en 102 van het Verdrag betreffende de werking van de Europese Unie (VWEU). Dit is ook recentelijk bevestigd door het Hof van Justitie van de Europese Unie (HvJEU) in het ILVA-arrest.58 Daarin is samengevat overwogen dat het maximumbedrag van de geldboete moet worden bepaald op basis van een percentage van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming.59 Het begrip ‘onderneming’ is ook van belang om de werkelijke of materiële economische draagkracht van de overtreder te beoordelen, zodat de geldboete zowel doeltreffend, evenredig als afschrikkend is.

44. Uit het Sumal-arrest60 volgt niet dat er een andere uitleg kan worden gegeven aan de begrippen 'onderneming' en 'omzet' in een context als de onderhavige die afwijkt van de mededingingsrechtelijke eenheid. Het arrest bevestigt juist dat het begrip 'onderneming' ziet op een economische eenheid, zelfs als die uit verschillende rechtspersonen bestaat. Hiervan afwijken zou bovendien strijdig zijn met het uitgangspunt dat een bestuurlijke boete een voldoende afschrikwekkende werking moet hebben. Voor een effectieve handhaving is het immers noodzakelijk dat de boetegrondslag aansluit bij de volledige omzet van de economische eenheid. Het buiten beschouwing laten van een substantieel deel van die omzet doet af aan de beoogde preventieve werking.

55 Ook wel AVAS genoemd. 56 Beleidsregels van de Autoriteit Persoonsgegevens van 19 februari 2019 met betrekking tot het bepalen van de hoogte van bestuurlijke boetes (Boetebeleidsregels Autoriteit Persoonsgegevens 2019), Staatscourant. 2019, 14586. 57 HvJEU 6 oktober 2021, ECLI:EU:C:2021 :800. 58 Zie HvJ EU 13 februari 2025, nr. C-383/23. 59 Dit volgt ook uit HvJEU 5 december 2023, C‑807/21, EU:C:2023:950, punt 57 (Deutsche Wohnen). 60 HvJEU 6 oktober 2021, ECLI:EU:C:2021:800.

13/21

45. Vast staat dat Uber B.V. een volle dochteronderneming is van Uber Technologies Inc. In het kader van artikel 83 AVG worden zij daarom als één economische eenheid — en dus als dezelfde onderneming — aangemerkt. Aangezien zij gezamenlijk verantwoordelijk zijn voor de gegevensverwerking, dient de boete te worden bepaald op basis van de totale wereldwijde jaaromzet van deze gehele onderneming. De jaaromzet van de onderneming over het boekjaar 2022 is, dan ook terecht bij het boetebesluit, vastgesteld op € 29,75 miljard.61

Vaststellen handelingen en bepalen inbreuken62

46. De AP heeft in het boetebesluit gemotiveerd vastgesteld dat in de onderhavige zaak sprake is van twee van elkaar te onderscheiden sanctioneerbare gedragingen (‘plurality of actions’). Het gaat om de overtreding van het inzagerecht63 en de informatieplicht.64 Aangezien Uber hiertegen geen gronden heeft aangevoerd en ook overigens niet is gebleken van nieuwe feiten of omstandigheden die tot een ander oordeel leiden, ziet de AP geen aanleiding om van deze vaststelling af te wijken.

47. Het vorenstaande leidt tot de conclusie dat voor beide gedragingen afzonderlijk een boete kan worden opgelegd tot het toepasselijke boetemaximum dat hieronder nader wordt toegelicht.

Het startbedrag van de boete65

48. Voor de oplegging van een boete dient conform de Richtsnoeren vervolgens het startbedrag te worden bepaald. Volgens Uber heeft de AP bij het bepalen van het startbedrag van de boete ten onrechte een percentage genomen van de (totale wereldwijde) omzet. De omzet zou naar het oordeel van Uber geen relevante factor zijn voor het bepalen van het startbedrag van de boete.

49. De AP deelt dit standpunt niet en wijst erop dat zowel uit de AVG als uit de Richtsnoeren volgt dat de omzet een factor is bij het bepalen van het startbedrag (ook wel het uitgangsbedrag genoemd). In dit kader wijst de AP onder meer op artikel 83, eerste lid, van de AVG waarin is bepaald dat elke toezichthoudende autoriteit ervoor moet zorgen dat de administratieve geldboeten die worden opgelegd in elk individueel geval doeltreffend, evenredig en afschrikkend zijn. Bij het bepalen van de boete, dat begint met het bepalen van het startbedrag, is de omzet van een onderneming een relevante factor om ervoor te zorgen dat de boete aan deze drie voorwaarden voldoet.66 De Richtsnoeren bepalen expliciet dat de omzet van de onderneming één van de drie elementen is voor het bepalen van het startbedrag.67 In de regel geldt dat hoe hoger de omzet van de onderneming is binnen het toepasselijke niveau, des te hoger het startbedrag waarschijnlijk zal zijn.68

61 Het moet gaan om de wereldwijde jaaromzet in het voorgaande boekjaar. Aangezien de boete is opgelegd in 2023, gaat het om het boekjaar 2022. Zie het boetebesluit, p. 20. 62 Stap 1 van de Richtsnoeren. 63 Zoals bedoeld in artikel 12, eerste en tweede lid, AVG. 64 Zoals bedoeld in artikel 13, eerste lid, aanhef en onder f, en tweede lid, aanhef en onder a en b, van de AVG. 65 Stap 2 van de Richtsnoeren. 66 Zie de Richtsnoeren, randnummer 17 en 64 en het Bindend besluit EDPB 1/2021, punten 411 en 412. 67 Zie Richtsnoeren, randnummer 17 (stap 2). 68 Zie de Richtsnoeren, randnummer 67 en de leeswijzer bij de Richtsnoeren.

14/21

50. Verder kan gewezen worden op het eerder aangehaalde ILVA-arrest,69 waarin het HvJEU heeft bevestigd dat de werkelijke of materiële economische draagkracht van degene aan wie de geldboete wordt opgelegd relevant is voor de beoordeling of de geldboete zowel doeltreffend, evenredig als afschrikkend is. Hoewel het arrest primair ziet op de uitleg van het begrip ‘onderneming’ en ‘het boetemaximum’, volgt ook uit dit arrest dat de omzet relevant is voor het bepalen van de draagkracht. Door de omzet al in de beginfase van de berekening mee te wegen, wordt gewaarborgd dat de boete een voldoende afschrikwekkend effect sorteert ten aanzien van de specifieke onderneming.

51. In het kader van de heroverweging van het boetebesluit heeft de AP opnieuw gekeken of de AP bij het boetebesluit het startbedrag op een juiste wijze is vastgesteld. De AP concludeert dat het startbedrag terecht en op goede gronden is vastgesteld op € 5 miljoen per overtreding (€ 10 miljoen in totaal). Dit licht de AP hieronder toe.

52. Uit de Richtsnoeren volgt dat het startbedrag wordt bepaald op basis van een beoordeling van: a) de indeling in artikel 83, leden 4 tot en met 6, AVG; b) de zwaarte van de inbreuk krachtens artikel 83, tweede lid, onder a, b en g, AVG; c) de omzet van de onderneming als relevant element om rekening mee te houden met het oog op het opleggen van een doeltreffende, afschrikkende en evenredige geldboete op grond van artikel 83, eerste lid, AVG.70

53. In het onderhavige geval leidt de toepassing van deze systematiek tot de volgende vaststelling van het startbedrag:71

a) De indeling: 54. De overtreding van de inzageplicht en de informatieplicht vallen binnen het hoogste wettelijk boetemaximum van € 20 miljoen of, indien dit hoger is, 4% van de totale wereldwijde jaaromzet in het voorafgaande boekjaar.

b) Zwaarte van de inbreuk: 55. De ernst van de inbreuken is in het boetebesluit aangemerkt als ‘laag’.72 Overeenkomstig de Richtsnoeren bedraagt het startpunt voor de berekening van een inbreuk met een lage ernst tussen de 0% en 10% van het boetemaximum.73

c) De omzet als relevant element met het oog op het opleggen van een doeltreffende, afschrikkende en evenredige geldboete: 56. Bij het bepalen van een doeltreffende, afschrikkende en evenredige geldboete wordt de omzet van Uber als relevant element betrokken. Gelet op de totale wereldwijde jaaromzet van € 29,75 miljard bedraagt het

69 Zie HvJ EU 13 februari 2025, nr. C-383/23. 70 Zie Richtsnoeren, randnummer 17. 71 Zie voor een meer uitgebreide toelichting op de berekening van het startbedrag het boetebesluit § 5.3.2. 72 Na een beoordeling van de aard, zwaarte en duur van de overtreding (art. 83, lid 2, sub a, AVG), de opzettelijke of nalatige aard van de inbreuk (art. 83, lid 2, sub b, AVG) en de categorieën van persoonsgegevens (art. 83, lid 2, sub g, AVG) komt de AP concludeert de AP dat de ernst van de overtredingen moeten worden aangemerkt als ‘laag’. Voor een motivering van deze conclusie verwijst de AP naar het boetebesluit, § 5.3.2. 73 Zie Richtsnoeren, randnummer 60.

15/21

boetemaximum € 1,19 miljard (4% van de jaaromzet). 74 Nu is vastgesteld voor beide gedragingen75

afzonderlijk een boete kan worden opgelegd, geldt per overtreding een wettelijk boetemaximum van € 1,19 miljard.

57. Hoewel de omvang van de totale wereldwijde jaaromzet een aanzienlijk boeteplafond (€ 1,19 miljard) met zich brengt, rechtvaardigen de specifieke omstandigheden van dit geval een vaststelling aan de onderzijde van de toepasbare bandbreedte, omdat de vastgestelde inbreuken, gelet op de in het boetebesluit omschreven feiten en omstandigheden, op zichzelf van geringe ernst zijn.76

58. Tegen deze achtergrond moet er een evenwicht worden gevonden. Uit artikel 83, eerste lid, AVG volgt dat de boete niet alleen doeltreffend en afschrikwekkend moet zijn, maar ook evenredig dient te zijn. De AP komt dan uit op een startbedrag € 5 miljoen per overtreding (€ 10 miljoen in totaal). Dat is slechts 0,42% van het wettelijk boetemaximum. Een hogere boete zou in dit specifieke geval leiden tot een sanctie die niet in verhouding staat tot de geringe aard van de overtreding. Een boete van € 5 miljoen per overtreding is naar het oordeel van de AP, ook voor een onderneming van deze omvang, nog steeds voldoende doeltreffend en afschrikkend. De AP concludeert uit het vorenstaande dat het startbedrag bij het boetebesluit dan ook terecht is vastgesteld op € 5 miljoen per inbreuk.

Beoordelen relevante omstandigheden77

59. Na het bepalen van het startbedrag, dient vervolgens te worden beoordeeld of in de omstandigheden van het geval aanleiding wordt gevonden om de boete hoger of lager vast te stellen dan het hiervoor bepaalde startbedrag.

60. De AP heeft bij het vaststellen van het startbedrag hiervoor reeds rekening gehouden met de aard, zwaarte en duur van de overtreding,78 de opzettelijke of nalatige aard van de inbreuk79 en de categorieën van persoonsgegevens.80 Op basis van die factoren heeft de AP geconcludeerd dat de ernst (de zwaarte) van de overtreding moet worden aangemerkt als ‘laag’. De wijze waarop de inbreuken ter kennis van de AP zijn gekomen,81 is in het primaire besluit als 'neutraal' aangemerkt. Dit betekent dat de betreffende omstandigheden geen aanleiding hebben gegeven om de boete verder te verhogen . Nu Uber deze kwalificaties ook niet heeft bestreden - en door haar bovendien geen nieuwe feiten of omstandigheden zijn aangevoerd die tot een andere weging zouden moeten leiden – ziet de AP geen aanleiding om van de eerder getrokken conclusie af te wijken.

61. Uber betoogt dat er aanvullende omstandigheden zijn die als verzachtende factor in de zin van artikel 83, tweede lid, AVG moeten worden meegewogen. De AP volgt Uber niet in dit standpunt en licht dit hieronder toe.

74 De totale wereldwijde jaaromzet van Uber in het boekjaar 2022 bedroeg € 29.750.000.000,--. 4% van € 29.750.000.000,-- is € 1.190.000.000,--. 75 D.w.z. de overtreding van het inzagerecht (artikel 12, eerste en tweede lid, AVG) en de overtreding van de informatieplicht (artikel 13, eerste lid, aanhef en onder f, en tweede lid, aanhef en onder a en b, van de AVG). 76 De AP heeft hierbij o.m. rekening gehouden met de aard, zwaarte en duur van de overtreding, de opzettelijke of nalatige aard van de inbreuk en de categorieën van persoonsgegevens. Zie het boetebesluit, § 5.3.2. 77 Stap 3 van de Richtsnoeren. 78 Zoals bedoeld in artikel 83, tweede lid, onder a, AVG. 79 Zoals bedoeld in artikel 83, tweede lid, onder b, AVG. 80 Zoals bedoeld in artikel 83, tweede lid, onder g, AVG. 81 Zoals bedoeld in artikel 83, tweede lid, sub h, AVG.

16/21

Het meewerken aan het onderzoek 62. De AP ziet geen aanleiding tot het verlagen van het boetebedrag voor het, zoals Uber het noemt, het constructieve gedrag tijdens het onderzoekstraject. De AP wijst erop dat de medewerking van Uber niet verder is gegaan dan haar wettelijke plicht om hieraan te voldoen.82 Deze algemene plicht geldt voor alle partijen die onderwerp zijn van onderzoek. Uber heeft niet op een bijzondere wijze aan het onderzoek van de AP meegewerkt om bijvoorbeeld de nadelige gevolgen van de overtredingen weg te nemen door bijvoorbeeld schade van de chauffeurs te compenseren. De medewerking moet dus als neutraal worden beschouwd en kan dus niet worden meegenomen als een verzachtende factor. 83

De lange duur van het onderzoek 63. Naar het oordeel van Uber dient het lange tijdsbestek tussen het onderzoeksrapport en het boetebesluit als een verzachtende omstandigheid worden meegenomen. De AP deelt dit standpunt niet en wijst erop dat de duur van de procedure geen onderdeel uitmaakt van de limitatieve opsomming van wegingsfactoren in artikel 83, tweede lid, AVG.

64. Daarnaast moet worden opgemerkt dat Uber pas één maand voorafgaand aan het boetebesluit van 11 december 2023 de (laatste) overtreding heeft beëindigd.84 Uber heeft de onrechtmatige situatie derhalve gedurende het gehele onderzoek, en zelfs ruim na de vaststelling van het onderzoeksrapport, laten voortbestaan. In plaats van een matigende factor, onderstreept dit de duur van de inbreuk (artikel 83, tweede lid, onder a, AVG), hetgeen eerder een verzwarende dan een verzachtende omstandigheid vormt. Overigens wijst de AP Uber erop dat de duur van de procedure, gelet op de complexiteit van de zaak, de grensoverschrijdende aspecten85 en de daaruit voortvloeiende langere doorlooptijden, niet als onredelijk kan worden aangemerkt. De AP ziet in hetgeen is aangevoerd dan ook geen aanleiding om het startbedrag verder te matigen.

Ten aanzien van de verzachtende omstandigheden in andere boetebesluiten. 65. Uber stelt dat de AP in strijd met het gelijkheidsbeginsel en het rechtszekerheidsbeginsel handelt, omdat zij de verzachtende omstandigheden van artikel 83, tweede lid, AVG in andere zaken86 anders gewogen zou hebben dan in de onderhavige zaak.

66. De AP volgt Uber hierin niet en wijst er uitdrukkelijk op dat bij de vaststelling van een bestuurlijke boete sprake is van individueel maatwerk. De feiten en omstandigheden in de door Uber aangehaalde boetebesluiten zijn naar hun aard en ernst wezenlijk verschillend van de onderhavige casus, waardoor een identieke weging niet in de rede ligt. Van een schending van het rechtszekerheidsbeginsel is evenmin sprake, nu de boetehoogte is vastgesteld binnen de wettelijke kaders van de AVG en de Richtsnoeren. De onderliggende feiten en omstandigheden van dit specifieke feitencomplex zijn anders dan in de genoemde boetebesluiten en heeft dus geleid tot een andere weging van omstandigheden.

82 Zie artikel 31 AVG. 83 Zie de Richtsnoeren, randnummer 95-97. 84 Het gaat om de overtreding van artikel 13, tweede lid, aanhef en onder b, AVG. Het recht op gegevensoverdraagbaarheid is pas per 3 november 2022 in de privacyverklaring vermeld. 85 Gelet op de samenwerking- en coherentie-procedure, zoals bedoeld in hoofdstuk VII van de AVG. 86 Uber verwijst hierbij naar de besluiten inzake Takeaway.com Group van 20 augustus 2024, Netflix International B.V. van 26 november 2024, Coolblue B.V. van 23 december 2024 en AS Watson (Health & Beauty Continental Europe) B.V. (Kruidvat) van 27 mei 2025.

17/21

67. De omstandigheid dat in andere zaken lagere boetes zijn opgelegd, rechtvaardigt evenmin het standpunt van Uber dat in strijd is gehandeld met het gelijkheids- of rechtszekerheidsbeginsel. De hoogte van een bestuurlijke boete wordt immers niet abstract bepaald, maar is het resultaat van een integrale afweging van alle relevante factoren van het specifieke geval. Verschillen in de aard, ernst en duur van de inbreuk, de mate van verwijtbaarheid, de (inter)nationale context van de zaak, de omvang van de onderneming en de getroffen maatregelen ter beperking van de schade, leiden noodzakelijkerwijs tot een gedifferentieerde boetetoemeting. Het feit dat de AP in andere dossiers tot een lagere sanctie is gekomen, doet dan ook niet af aan de rechtmatigheid en evenredigheid van de thans opgelegde boete. Een vergelijking met andere boetebesluiten kan enkel slagen indien sprake is van rechtens gelijke gevallen, hetgeen hier niet aan de orde is.

68. De door Uber aangevoerde feiten en omstandigheden geven derhalve geen aanleiding tot een andere weging van de criteria van artikel 83, tweede lid, AVG. Aangezien deze toetsing in de primaire fase reeds integraal en naar behoren heeft plaatsgevonden, en er in bezwaar geen nieuwe verzachtende omstandigheden zijn overgelegd, concludeert de AP dat er geen correctie plaatsvindt op het startbedrag van € 5 miljoen voor overtreding van het inzagerecht en het startbedrag van € 5 miljoen voor overtreding van de informatieplicht.

Toetsing aan het wettelijk boetemaximum87

69. Conform de systematiek van de Richtsnoeren dient vervolgens te worden getoetst of het boetebedrag, van € 5 miljoen per overtreding, het wettelijk boetemaximum88 niet overschrijdt.

70. De AP stelt vast dat de boete van € 5 miljoen per overtreding aanzienlijk onder het wettelijk boetemaximum van € 1,19 miljard89 blijft. Er is derhalve geen aanleiding om de hoogte van de boetes op grond van deze stap naar beneden bij te stellen.

Beoordeling vereisten van doeltreffendheid, evenredigheid en afschrikking90

71. Tot slot moet worden beoordeeld of de boete doeltreffend, evenredig en afschrikkend is. Ingevolge artikel 49, derde lid, van het Handvest van de grondrechten van de EU en de artikelen 3:4 en 5:46, tweede lid, van de Awb, mag de bestuurlijke boete, gelet op de omstandigheden van het geval, niet leiden tot een onevenredige boete.

72. Uber heeft, samengevat, aangevoerd dat er geen noodzaak was om een punitieve sanctie op te leggen. Volgens Uber had de AP van het opleggen van een boete moeten afzien en had zij kunnen volstaan met een minder ingrijpend toezichtinstrument. Een normerend gesprek zou volgens Uber in dit geval een meer adequaat middel zijn geweest. Voor zover er al een boete opgelegd zou moeten worden, stelt Uber dat de hoogte daarvan onevenredig is in verhouding tot de aard en de ernst van de gestelde overtredingen

73. De AP volgt Uber niet in dit standpunt en wijst erop dat de AVG beoogt een gelijkwaardig en hoog niveau van bescherming van natuurlijke personen te waarborgen. Ter versterking van de handhaving schrijft de

87 Stap 4 van de Richtsnoeren. 88 Het wettelijk boetemaximum is 4% van de totale wereldwijde jaaromzet en volgt uit artikel 83, lid 5, AVG. 89 Dit is 4% van de totale wereldwijde jaaromzet. 90 Stap 5 van de Richtsnoeren.

18/21

verordening voor dat bij inbreuken passende sancties — waaronder administratieve geldboeten — moeten worden opgelegd.91 Door hun afschrikkende werking vormen administratieve geldboeten een sleutelelement om de eerbiediging van de rechten van betrokkenen te waarborgen.92

74. De AP wijst erop dat het hier gaat om een structurele en omvangrijke gegevensverwerking door een mondiale onderneming, waarbij de privacyrechten van duizenden Europese chauffeurs in het geding zijn. Bovendien zijn de vastgestelde inbreuken van lange duur geweest. Het versturen van slechts een normerende brief of het opleggen van een berisping93 acht de AP in deze situatie dan ook niet opportuun. Dergelijke toezichtsinstrumenten zijn bedoeld voor kleine incidentele inbreuken94 die zien op één of een enkele betrokkene. Deze instrumenten zouden dan geen afschrikwekkend effect sorteren en zouden geen recht doen aan de ernst van de door Uber overtreden bepalingen. Het gaat hier om inbreuken die vallen onder de hoogste boetecategorie, waarmee de Uniewetgever ondubbelzinnig tot uitdrukking heeft gebracht dat dergelijke inbreuken tot de meest ernstige categorie overtredingen behoren die streng moeten worden bestraft.95 Gelet op de onderliggende feiten en omstandigheden concludeert de AP dat het opleggen van een boete in dit geval passend en geboden is om het door de Uniewetgever beoogde hoge niveau van bescherming te handhaven.

75. De AP ziet op grond van het evenredigheidsbeginsel geen aanleiding om tot een lagere boete te komen, nu een lagere boete naar haar oordeel onvoldoende doeltreffend, afschrikkend zou zijn om de vastgestelde inbreuken te sanctioneren. Met de evenredigheid heeft de AP reeds bij de vaststelling van het startbedrag rekening gehouden, waardoor dit beginsel inherent in de boeteberekening is gewaarborgd.96 Gelet op de specifieke feiten en omstandigheden van het geval is de AP daarbij uitgekomen op een startbedrag van € 5 miljoen (slechts 0,42% van het wettelijke boetemaximum per overtreding).97

76. Voor een verder matiging is volgens vaste rechtspraak vereist dat op basis van door de beboete organisatie overgelegde financiële gegevens moet worden geoordeeld dat deze door de opgelegde boete onevenredig zwaar wordt getroffen.98 Uber heeft echter geen feiten of omstandigheden aangevoerd, noch onderbouwd met objectieve gegevens, waaruit blijkt dat zij de boete gelet op haar financiële draagkracht niet kan dragen. Ook ziet de AP geen andere redenen om aan te nemen dat Uber onevenredig zwaar wordt getroffen.

91 Zie o.m. de overwegingen 10 en 148 van de AVG. 92 Zie HvJ-EU 5 december 2023, C-683/21, ECLI:EU:C:2023:950 (Deutsche Wohnen), r.o. 73 en 5 december 2023, ECLI:EU:C:2023:949, C-683/21 (Nacionalinis), r.o. 78 93 Zoals bedoeld in artikel 58, tweede lid, onder b, AVG. 94 Zie WP29, Richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten in de zin van Verordening (EU) 2016/679, WP253, p. 9. 95 Het gaat hier immers om inbreuken die vallen onder de zwaarste categorie boetes. Ingevolge artikel 83, vijfde lid, aanhef en onder b, van de AVG bedraagt het wettelijk boetemaximum voor deze inbreuken € 20.000.000,- dan wel 4% van de wereldwijde jaaromzet. De Uniewetgever heeft hiermee ondubbelzinnig tot uitdrukking gebracht dat schendingen van de informatieplicht en de rechten van betrokkenen tot de meest ernstige categorie overtredingen behoren die een stringente bestraffing behoeven zoals bedoeld in artikel 83, lid 5, AVG. 96 Dit bedrag is nadien niet meer, naar aanleiding van de factoren die zijn genoemd in artikel 83, tweede lid, AVG, verhoogd en is dus constant gebleven. 97 Hoewel de AP de concrete ernst van deze specifieke inbreuken als zeer gering heeft aangemerkt laat dit de noodzaak tot het opleggen van een boete onverlet. 98 Zie bijvoorbeeld ABRvS van 24 december 2024, ECLI:NL:RVS:2024:5293, onder 13.1 en ABRvS van 21 maart 2012, ECLI:NL:RVS:2012:BV9509, onder 2.15.

19/21

77. Een boete van € 5 miljoen per overtreding is dan ook het absolute minimum om te waarborgen dat de sanctie niet als een verwaarloosbare kostenpost wordt beschouwd, maar leidt tot de noodzakelijke specifieke en algemene afschrikking. Op grond van het vorenstaande acht de AP acht de opgelegde boete van € 5 miljoen per overtreding (€ 10 miljoen in totaal) dan ook passend en geboden.

Het boeteregime 78. Uber heeft zich op het standpunt gesteld dat de AP de boete niet had mogen baseren op de Richtsnoeren,99

maar is van mening dat – voor zover er al een boete opgelegd had mogen worden – de boete bepaald had moeten worden aan de hand van de Boetebeleidsregels 2019.100 In dit kader is onder meer naar voren gebracht dat de overtredingen hebben plaatsgevonden voordat de Richtsnoeren waren vastgesteld en dat op grond van de Boetebeleidsregels 2019 tot een veel lagere boete zou zijn gekomen. Verder is Uber van oordeel dat op grond van het vertrouwensbeginsel, toepassing moet worden gegeven aan de Boetebeleidsregels, omdat de AP dat in haar brief van 8 juli 2022 zou hebben toegezegd.

79. De AP volgt Uber niet in haar bezwaar en wijst erop dat de Richtsnoeren door de EDPB101 zijn vastgesteld op 24 mei 2023, met het oog op de harmonisatie van de methode die de toezichthoudende autoriteiten gebruiken om het bedrag van de geldboete te berekenen. Deze Richtsnoeren zijn van toepassing op alle soorten verwerkingsverantwoordelijken en verwerkers,102 met uitzondering van natuurlijke personen wanneer zij niet als ondernemingen handelen.103 Deze Richtsnoeren zijn op 24 mei 2023 onmiddellijk in werking getreden en bevatten geen overgangsbepaling. Hierdoor zijn de Richtsnoeren, naast de nieuwe zaken, ook direct van toepassing (geworden) op de lopende handhavingszaken, zoals de onderhavige zaak destijds. Er was op het moment dat de Richtsnoeren directe werking verkregen immers nog geen handhavingsbesluit genomen. Het boetebesluit is later, ruim zes maanden ná de inwerkingtreding van de Richtsnoeren, genomen.

80. De Richtsnoeren bepalen de kaders waarbinnen de AP haar discretionaire bevoegdheid (om een boete op te leggen) moet uitoefenen. De AP moet haar keuzes motiveren binnen de grenzen van de Europese afspraken. Een uiteenlopend boetebeleid tussen lidstaten zou kunnen leiden tot rechtsongelijkheid. Nu de EDPB een specifieke methodiek heeft ontwikkeld voor boeteberekening, moet de AP haar discretionaire bevoegdheid in lijn met dit Europese kader uitoefenen.

81. De AP volgt Uber niet in haar bezwaar dat de AP in haar brief van 8 juli 2022 een toezegging zou hebben gedaan dat de Boetebeleidsregels 2019 zouden worden toegepast. Volgens vaste rechtspraak104 is voor een geslaagd beroep op het vertrouwensbeginsel vereist dat sprake is van uitlatingen of gedragingen die bij de betrokkene redelijkerwijs de indruk wekken van een welbewuste standpuntbepaling over de uitoefening van een bevoegdheid in een specifiek geval. De brief van 8 juli 2022 bevat geen dergelijke standpuntbepaling, maar verwijst naar de toepasselijke nationale beleidsregels van dat moment. De brief kan dus niet worden gekwalificeerd als een toezegging dat de AP de boetebeleidsregels 2019 zou toepassen

99 EDPB Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG, vastgesteld op 24 mei 2023. 100 Beleidsregels van de Autoriteit Persoonsgegevens van 19 februari 2019 met betrekking tot het bepalen van de hoogte van bestuurlijke boetes (Boetebeleidsregels Autoriteit Persoonsgegevens 2019), Staatscourant. 2019, 14586. 101 Op grond van artikel 70, eerste lid, onder k, AVG. 102 Overeenkomstig artikel 4, sub 7 en 8, AVG. 103 Zie de Richtsnoeren, randnummer 9. 104 Zie o.m. ABRvS 29 mei 2019, ECLI:NL:RVS:2019:1694 (Amsterdams Dakterras). Deze uitspraak werd voorafgegaan door een uitvoerige conclusie van A-G Wattel van 20 maart 2019 (ECLI:NL:RVS:2019:896).

20/21

en zou afzien van haar wettelijke plicht om Europese regels (hoger recht) toe te passen. Er is naar het oordeel van de AP dan ook geen sprake van schending van het vertrouwensbeginsel. Bij het boetebesluit van 11 december 2023 heeft de AP, bij het bepalen van de hoogte van de boete, zich dan ook terecht gebaseerd op de Richtsnoeren.

82. Verder wijst de AP erop dat het standpunt van Uber, dat toepassing van de oude Beleidsregels 2019 zou resulteren in een lagere boete, berust op een verkeerde veronderstelling. Ook op basis van de Boetebeleidsregels 2019 zou de boete zijn uitgekomen op een boete van € 5 miljoen per overtreding (€ 10 miljoen in totaal).105 Dit wordt hieronder nader toegelicht.

83. De AP heeft vastgesteld dat Uber in strijd heeft gehandeld met de artikelen 12 en 13 van de AVG. Beide inbreuken zijn in de Boetebeleidsregels 2019 ingedeeld in categorie III. Voor een overtreding in deze categorie, geldt dat een boete kan worden opgelegd binnen de boetebandbreedte tussen € 300.000,-- en € 750.000,--.106 Van deze boetebandbreedte kan worden echter worden afgeweken indien sprake is van een overtreding die is begaan door een onderneming en de voor de overtreding bepaalde boetecategorie in het concrete geval geen passende bestraffing toelaat.107 De AP zou dan op grond van artikel 8.4 van de Boetebeleidsregels 2019 een (hogere) boete kunnen opleggen tot maximaal 4% van de totale wereldwijde omzet in het voorgaande boekjaar.108 Dit zou uitkomen op een bedrag van € 1,19 miljard.109 De totale wereldwijde omzet kon ook onder de Beleidsregels 2019 als factor worden meegenomen om een boete op te leggen. Met name ook omdat Uber B.V. een volle dochteronderneming is van Uber Technologies Inc. en gezamenlijk verantwoordelijk zijn voor de gegevensverwerking. Aangezien de AP op grond van de Richtsnoeren op hetzelfde boetemaximum van € 1,19 miljard uitkomt en bij het bepalen van de boete dezelfde factoren op dezelfde wijze zou wegen, zou de AP op basis van de Boetebeleidsregels 2019, uitkomen op hetzelfde boetebedrag van € 5 miljoen per overtreding. Nu de boete onder het oude regime niet lager uitvalt, is er ten aanzien van de Boetebeleidsregels 2019 geen sprake van een voor Uber gunstiger recht dat had moeten worden toegepast. Het beroep op het lex mitior-beginsel treft dan ook geen doel.

105 De hoogte van de boete voor overtreding van artikel 12, eerste en tweede lid, AVG is bepaald op € 5.000.000,--. De boete voor overtreding van artikel 13, eerste lid, aanhef en onder f, en tweede lid, aanhef en onder a en b, van de AVG is ook vastgesteld op € 5.000.000,--. 106 Zie artikel 2.3 van de Boetebeleidsregels 2019. 107 Het opleggen van een boete van € 750.000,-- zou in de onderhavige zaak geen passende bestraffing zijn, omdat de boete dan niet voldoet aan de voorwaarden dat de boete doeltreffend, evenredig en afschrikkend moet zijn. Hierbij wordt ook rekening gehouden met de in artikel 7 van de Boetebeleidsregels 2019 genoemde factoren. Deze factoren zijn ontleend aan artikel 83, tweede lid, van de AVG. 108 Zie bijlage 2, behorende bij artikel 2 van de Boetebeleidsregels 2019. 109 De totale wereldwijde jaaromzet van Uber in het boekjaar 2022 bedroeg € 29,75 miljard. 4% van € 29,75 miljard betreft € 1,19 miljard.

21/21

5. Conclusie 84. Ingevolge artikel 7:11, eerste lid, van de Awb heeft de AP het boetebesluit heroverwogen. Op grond van deze heroverweging ziet de AP geen aanleiding om boetebesluit te herroepen. De AP handhaaft, met inachtneming van de vorenstaande motivering, het boetebesluit van 11 december 2023.

Hoogachtend, Autoriteit Persoonsgegevens,

mr. A. Wolfsen voorzitter

Rechtsmiddelenclausule Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het besluit ingevolge de Algemene wet bestuursrecht een beroepschrift indienen bij de rechtbank (sector bestuursrecht) in het arrondissement, waarbinnen uw woonplaats of vestigingsplaats valt. U dient een afschrift van dit besluit mee te zenden. Het indienen van een beroepschrift schort de werking van dit besluit niet op.

Voor het indienen van beroep bij de rechtbank zijn kosten verschuldigd aan de rechtbank (griffierecht). Voor de hoogte van het bedrag van deze kosten kan worden gekeken op de internetpagina van de rechtspraak: https://www.rechtspraak.nl/Naar-de-rechter/Kosten-rechtszaak/Griffierecht/Paginas/Griffierecht-bestuursrecht.aspx