Dans un article publié le 22 mars dernier, le réseau CNBC nous apprenait que quatre chauffeurs d’Uber avaient intenté un recours contre cette plateforme en raison de violations allégées au Règlement général sur la protection des données (le « RGPD »).

Selon CNBC, les chauffeurs à l’origine de ce recours allèguent qu’Uber aurait « […] contrevenu à la règlementation en omettant à répétition de fournir de l’information, comme le temps pendant lequel les chauffeurs étaient connectés à la plateforme, leurs données de géolocalisation individuelles et les notes reçues des passagers. [traduit] » Le manque d’information ferait en sorte que les chauffeurs peuvent difficilement calculer leur salaire horaire. 

L’un des chauffeurs à l’origine du recours prétend par ailleurs s’être adressé à Uber à de nombreuses reprises à cet égard, avoir eu beaucoup d’échanges avec les représentants de la plateforme, mais sans succès. 

Un porte-parole d’Uber a transmis une déclaration à CNBC, à l’effet que

« leur équipe de vie privée travaille fort pour fournir le plus d’informations qu’ils peuvent fournir, incluant des explications [lorsqu’ils ne peuvent] fournir certaines données parce que les données n’existent pas ou parce que leur divulgation violerait les droits de d’autres personnes sous le RGPD. Selon la loi, les résidents britanniques ont aussi le droit d’adresser leurspréoccupations en contactant le responsable de la protection des données d’Uber ou le Commissaire Britannique à l’Information pour un examen supplémentaire. [traduit] »

Le droit d’accès d’une personne est consacré à l’article 15 du RGPD :

« La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées […] ».

Dans le cas qui nous occupe, soulignons au passage que la définition de « données à caractère personnel » à l’article 4 du RGPDcomprend les données de localisation. 

Sur sa page explicative portant sur le droit d’accès, la Commission Nationale de l’Informatique et des Libertés (la « CNIL »), autorité de contrôle française chargée de la surveillance de l’application du RGPD, cette communication de la part du responsable du traitement doit être effectuée sous une forme compréhensible. 

La CNIL prévoit que suite à une demande d’accès, un organisme doit répondre au demandeur

« […] dans les meilleurs délais et au plus tard dans un délai d’un mois, qui peut être porté à trois mois compte tenu de la complexité de la demande ou du nombre de demandes que l’organisme a reçu. »

En cas de défaut de la part de l’organisme de répondre dans les délais prévus, le demandeur peut s’adresser à une autorité de contrôle.

Il y a bien sûr des limites à ce droit d’accès. La CNIL donne notamment l’exemple des documents de la police ou ceux qui concernent la sûreté nationale : leur accès est particulièrement encadré et nécessite une intervention de la CNIL comme intermédiaire. 

De plus, tel que prévu au quatrième paragraphe de l’article 15 du RGPD, la CNIL indique que « les droits ou libertés d’autrui sont également des limites : l’exercice [du] droit d’accès ne doit pas porter atteinte […] au droit des tiers […]. » Seules les données du demandeur peuvent être communiquées dans le cadre de l’exercice de ce droit. C’est l’un des arguments soulevés par Uber.

Finalement, rappelons que ce n’est pas la première fois qu’Uber fait les manchettes pour une violation des lois sur la protection des renseignements personnels : en novembre 2017, Uber avait révélé que « des cyberpirates avaient dérobé les données personnelles de 57 millions d’utilisateurs un an plus tôt », comme le rapportait Radio-Canada à l’époque. Un an plus tard, selon TVA Nouvelles, Uber avait par la suite écopé d’amendes totalisant un million d’euros des autorités de protection des données néerlandaises et britanniques.