Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
T 070 8888 500
autoriteitpersoonsgegevens.nl
UITSLUITEND PER AANGETEKEND E-MAILBERICHT XXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXX
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
Contactpersoon Uw kenmerk
XXXX-XXXXXXXXX XXXX-XXXXXXXXXX
XXXX-XXXXXXXXXX
XXXX-XXXX
Onderwerp
Beslissing op bezwaar
Geachte directie,
Hierbij ontvangt u het besluit van de Autoriteit Persoonsgegevens (AP) op uw bezwaarschrift van 19
februari 2024, aangevuld bij brieven van 2 april 2024 en 10 juli 2025. Het bezwaar is gericht tegen het
besluit van de AP van 11 december 2023 (hierna: het boetebesluit), waarbij aan Uber Technologies Inc. en
Uber B.V. (hierna tezamen: Uber) een boete is opgelegd van 10 miljoen euro (€ 10.000.000,--).1 De AP
heeft naar aanleiding van uw bezwaar het boetebesluit heroverwogen en verklaart uw bezwaar ongegrond.
Dit betekent dat de AP het boetebesluit handhaaft.
Het juridisch kader (bijlage 1) en het verslag van de hoorzitting (bijlage 2) treft u bijgevoegd aan bij dit
besluit.
De AP licht haar besluit hieronder toe.
1 Het besluit van 11 december 2023 met kenmerk XXXXXXXXXX.
1
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
1. Aanleiding voor het boetebesluit
1. Uber is een internationaal opererend bedrijf dat onder meer fungeert als intermediair tussen
taxichauffeurs en passagiers. Passagiers maken doorgaans gebruik van de algemene Uber-app op hun
mobiele telefoon of via een internetbrowser om een rit aan te vragen. Voor de chauffeurs heeft Uber de
Uber Driver-app (hierna: de chauffeurs-app) ontwikkeld, waarmee de chauffeurs aangeboden ritten
kunnen accepteren of weigeren. De chauffeurs worden na een rit door hun klanten beoordeeld en worden
door Uber uitbetaald voor de geleverde diensten.
2. Op 12 juni 2020 ontving de Franse privacytoezichthouder Commission Nationale de l’Informatique et des
Libertés (CNIL) AVG-klachten van de Franse niet-gouvernementele organisatie Ligue des Droits de
l’Homme et du Citoyen (LDH).2 De CNIL heeft de AVG-klachten doorgezonden aan de AP, waarna de AP
een onderzoek is gestart naar mogelijke schendingen van de Algemene verordening gegevensbescherming
(AVG).3 Naar aanleiding van dit onderzoek heeft de AP in het onderzoeksrapport van 30 juni 2022
geconcludeerd dat Uber vanaf 25 mei 2018 tot en met 30 juni 2022 in strijd heeft gehandeld met de AVG.4
3. De AP heeft bij brief van 8 juli 2022 het onderzoeksrapport en het voornemen om handhavend op te treden
aan Uber toegezonden. Op dit voornemen heeft Uber haar zienswijze gegeven.5
4. Door de AP is vervolgens een ontwerp (boete)besluit opgesteld dat aan de Europese toezichthouders is
voorgelegd, conform artikel 60 van de AVG. Tegen dit ontwerpbesluit zijn door de betreffende
toezichthouders geen bezwaren ingediend. Dit besluit is vervolgens vastgesteld en op 11 december 2023
aan Uber toegezonden.
2. Het boetebesluit
5. De AP heeft bij boetebesluit van 11 december 2023 aan Uber twee bestuurlijke boetes opgelegd van in
totaal € 10.000.000,-- wegens de volgende geconstateerde overtredingen:
a) Onvoldoende naleving van de bepaling over het recht op inzage.
De AP heeft geconcludeerd dat Uber de AVG-bepalingen over het recht op inzage onvoldoende heeft
nageleefd, doordat de verwerkte persoonsgegevens werden aangeleverd in een CSV-bestand,6 waarbij
geen uitleg werd gegeven over de structuur van dat bestand. Daarnaast is vastgesteld dat de
toelichting die bij de reactie op het inzageverzoek werd gegeven (in de zogenaamde ‘guidance notes’)
onvoldoende toegankelijk was, omdat deze uitsluitend in het Engels beschikbaar werd gesteld.7
2 Op 29 september 2020 heeft de LDH aanvullende klachten ingediend bij de CNIL.
3 De AP is in deze zaak als leidende toezichthouder aangemerkt omdat het Europese hoofdkantoor van Uber in Nederland is gevestigd.
Volgens het zogenaamde 'one-stop-shop'-mechanisme, wordt het toezicht op grensoverschrijdende gegevensverwerkingen
gecoördineerd door de toezichthouder in het land waar het bedrijf zijn hoofdvestiging binnen de EU heeft.
4 Het onderzoeksrapport is vastgesteld op 30 juni 2022.
5 Uber heeft bij brief van 15 september 2022 een schriftelijke zienswijze gegeven op het onderzoeksrapport en het voornemen tot
handhaven. Op 12 januari 2023 heeft Uber haar zienswijze mondeling toegelicht. Daarvan is een verslag gemaakt dat als bijlage bij het
boetebesluit is gevoegd.
6 CSV-bestand staat voor Comma-Separated Values-bestand In een CSV-bestand zijn waarden uit een tabel opgeslagen als regels
tekst. De waarden worden gescheiden door leestekens.
7 Hierdoor was sprake van overtreding van artikel 12, eerste lid, van de AVG.
2/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
Voorts is geconcludeerd dat Uber betrokkenen onvoldoende heeft gefaciliteerd in het uitoefenen van
hun recht op inzage, doordat het digitale formulier voor inzage en gegevensoverdraagbaarheid voor
chauffeurs niet gemakkelijk genoeg te vinden was in de chauffeurs-app.8|
b) Onvoldoende naleving van de transparantievereisten
De AP heeft geconcludeerd dat Uber in de privacyverklaring onvoldoende transparant is geweest met
betrekking tot het verschaffen van informatie over:
- de landen waarnaar de persoonsgegeven worden doorgegeven;9
- de bewaartermijnen;10
- het recht op gegevensoverdraagbaarheid.11
3. De bezwaargronden
6. Uber heeft bezwaar gemaakt tegen het boetebesluit. Samengevat heeft zij hierbij de volgende
bezwaargronden aangevoerd:
i. Er is geen sprake van een schending van de AVG, dus er is geen grond voor handhavend optreden.
ii. De AP handhaaft (punitief) op basis van onduidelijke en nieuwe, specifieke normen. Dit is in strijd
met het lex certa-beginsel.
iii. De AP kon Uber geen boete opleggen omdat de AP niet heeft aangetoond dat Uber nalatig of
opzettelijk handelde.
iv. Het besluit om een bestuurlijke boete op te leggen is in strijd met het subsidiariteitsbeginsel, omdat
zij in plaats van een boete, een minder ingrijpende instrumenten had kunnen inzetten.
v. De bestuurlijke boete is in strijd met het evenredigheidsbeginsel. De AP legt de boete op zonder
deze voldoende te motiveren en zonder rekening te houden met artikel 5:46 van de Algemene wet
bestuursrecht (Awb).
vi. De AP baseert de boete op de EDPB Richtsnoeren voor de berekening van administratieve
geldboeten (hierna: de Richtsnoeren),12 terwijl deze niet van toepassing zijn op deze zaak.
vii. De AP heeft het wettelijke maximumbedrag van de boete verkeerd berekend en heeft een verkeerd
startbedrag als uitgangspunt genomen.
viii. De hoogte van het boetebedrag is onvoldoende gemotiveerd.
ix. De AP handelt in strijd met verschillende rechtsbeginselen door de verzachtende omstandigheden
van artikel 83, tweede lid, AVG in andere zaken anders te wegen.
8 Hierdoor was sprake van overtreding van artikel 12, tweede lid, van de AVG.
9 Hierdoor was sprake van overtreding van artikel 13, eerste lid, aanhef en onder f, van de AVG.
10 Hierdoor was sprake van overtreding van artikel 13, tweede lid, aanhef en onder a, van de AVG.
11 Hierdoor was sprake van overtreding van artikel 13, tweede lid, aanhef en onder b, van de AVG.
12 EDPB Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG, vastgesteld op 24 mei 2023.
3/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
4. Beoordeling van uw bezwaar
7. De AP heeft met toepassing van artikel 7:11 van de Awb het boetebesluit heroverwogen en concludeert dat
het boetebesluit, met in achtneming van de onderstaande motivering, dient te worden gehandhaafd.
8. In reactie op de bezwaargronden merkt de AP allereerst op dat veel bezwaargronden ook in de
zienswijzefase zijn opgeworpen en dat daarop in het boetebesluit is gereageerd. De AP wijst daarom
primair naar haar reactie in het boetebesluit. In aanvulling daarop wordt – met inachtneming van hetgeen
Uber in bezwaar naar voren heeft gebracht – het volgende overwogen.
De naleving van de bepaling over het recht op inzage
Vereisten van informatieverstrekking bij de uitoefening van rechten
9. Uber stelt zich op het standpunt dat geen sprake is van een overtreding op het recht van inzage. In dit kader
heeft Uber aangevoerd dat zij chauffeurs altijd heeft gefaciliteerd in de uitoefening van hun recht op inzage.
Daarnaast is de AP, volgens Uber, ten onrechte voorbijgegaan aan de modaliteiten die zij buiten de
chauffeurs-app heeft geboden. Voorts meent Uber dat de informatie in CSV-bestanden gemakkelijk
toegankelijk is voor de chauffeurs en dat zij op basis van de AVG niet gehouden is om informatie te
verschaffen over hoe de betrokkene het CSV-bestand in tabelvorm kan openen.
10. De AP volgt Uber niet in haar bezwaren en wijst op artikel 12, eerste lid, van de AVG waarin – samengevat
– is bepaald dat de verwerkingsverantwoordelijke passende maatregelen moet treffen zodat de betrokkene
de vereiste informatie13 en communicatie14 ontvangt in een beknopte, transparante, begrijpelijke en
gemakkelijk toegankelijke vorm, alsmede in duidelijke en eenvoudige taal. De AVG stelt dus eisen aan de
vorm (die moet beknopt, transparant, begrijpelijk en gemakkelijk toegankelijk zijn) en aan de taal waarin
wordt gecommuniceerd (die moet duidelijk en eenvoudig zijn).
Ten aanzien van de vorm
11. De AP heeft in het onderzoeksrapport vastgesteld dat Uber de door betrokkenen gevraagde informatie
naar aanleiding van een inzageverzoek aanlevert door middel van een CSV-bestand. In een CSV-bestand
zijn waarden uit een tabel niet opgeslagen in kolommen, maar als regels tekst. Die tekst wordt gescheiden
door leestekens, zoals in het volgende voorbeeld waarin de kolomtitels worden getoond:
15
Voor het in begrijpelijke vorm weergeven van een CSV-bestand heeft een gebruiker een
spreadsheetprogramma nodig, waarin de gegevens in rijen en kolommen worden getoond.16 Dit is echter
niet altijd zonder nadere actie het geval .Wanneer in CSV-bestanden tussen de waarden als
scheidingsteken een komma wordt gebruikt, dan moet een betrokkene in sommige
13 Zoals bedoeld in de artikelen 13 en 14 van de AVG.
14 Zoals bedoeld in de artikelen 15 tot en met 22 en artikel 34 van de AVG.
15 Zie onderzoeksrapport, p. 11.
16 Iedere rij stelt een record of een inzageverzoek voor en elke kolom geeft een type persoonsgegevens weer (zoals naam, datum,
ritgegevens, etc.).
4/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
spreadsheetprogramma’s,17 bepaalde instellingen aanpassen of andere stappen zetten om het bestand
goed als tabel te kunnen laten weergeven. Dit was ook het geval bij chauffeurs die een inzageverzoek deden
bij Uber. Doordat in sommige landen, waaronder Nederland en Frankrijk, gebruikt wordt gemaakt van de
komma als decimaalscheidingsteken, is de komma niet automatisch ook bruikbaar als lijstscheidingsteken. Dit
zorgt ervoor dat een bestand met komma’s als scheidingstekens dus doorgaans niet direct goed kan
worden geopend met een willekeurig spreadsheetprogramma.18 Dat een CSV-bestand niet automatisch in
tabelvorm opent in applicaties met een Windows-besturingssysteem, is door Uber ook erkend. De AP
heeft in het boetebesluit vastgesteld dat Uber geen informatie of instructies heeft verstrekt over hoe een
CSV-bestand gestructureerd (overzichtelijk) kan worden weergegeven in het geval het bestand niet
automatisch als tabel wordt geopend. Betrokken chauffeurs moesten in dat geval zelf uitzoeken hoe de
informatie uit het bestand te halen is. De verstrekte informatie is door Uber dus niet in een vorm
aangeboden die voor de betrokkenen begrijpelijk en gemakkelijk toegankelijk is.
12. Wanneer een chauffeur de in de CSV-bestanden verstrekte informatie niet volledig kan begrijpen, dan
betekent dit dat de informatie onvoldoende transparant is. Dit volgt uit de Richtsnoeren inzake
transparantie19 en jurisprudentie.20 Het enkel verstrekken van ruwe data in een technisch formaat dat voor
de gemiddelde chauffeur zonder aanvullende handelingen of uitleg onleesbaar is, vormt een evidente
belemmering van de effectieve uitoefening van het inzagerecht. De AP introduceert hiermee geen nieuwe
criteria, zoals Uber stelt, maar toetst de feitelijke wijze van informatieverstrekking aan de kern van de
wettelijke norm, waarvan de strekking voor Uber — mede gelet op de Richtsnoeren inzake transparantie —
kenbaar had moeten zijn.
13. Alhoewel de wijze waarop de verwerkingsverantwoordelijke met de betrokkene over zijn verzoek om
inzage communiceert vormvrij is, betekent dat nog steeds dat hierbij (minimum)eisen zijn gesteld
waaraan de informatie of communicatie moet voldoen.
14. Uber heeft voorts nog aangevoerd dat er voldoende andere spreadsheetprogramma’s21 voorhanden zijn
waarmee de bestanden ook op een PC automatisch in gestructureerde vorm kunnen worden geopend. De
AP constateert echter dat deze informatie door Uber niet met de betrokken chauffeurs werd gedeeld. Het
aanbieden van informatie in bestandsformaten, zonder instructies of toelichting te geven over hoe de
informatie uit het bestand gehaald kan worden, doet afbreuk aan het recht van betrokkene om effectief zijn
rechten te kunnen uitoefenen.22 Door geen informatie te verstrekken over hoe de informatie uit de CSV-
bestanden overzichtelijk kan worden weergegeven als het bestand niet automatisch in tabelvorm wordt
geopend,23 is Uber nalatig geweest in haar verplichting om de informatie in een gemakkelijk toegankelijke
vorm te verstrekken. Hiermee heeft Uber in strijd gehandeld met artikel 12, eerste lid, van de AVG.
17 Zoals het spreadsheetprogramma Microsoft Excel.
18 Zie boetebesluit p. 7 en onderzoeksrapport p. 12.
19 De Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679.
20 HvJEU 4 mei 2023, ECLI:EU:2023:369, Österreichische Datenschutzbehörde, zie o.m. r.o. 37 en 38. Zie ook Rechtbank Amsterdam, 4
juli 2024, ECLI:NL:RBAMS:2024:4019, r.o. 4.16, waarin de rechtbank erop wijst dat de verstrekte informatie transparant en begrijpelijk
moet zijn.
21 Uber noemt daarbij ONLYOffice en LibreOffice.
22 Dit volgt ook uit overweging 59 AVG waarin erop gewezen wordt dat er regelingen voorhanden moeten zijn “om de betrokkene in
staat te stellen zijn rechten uit hoofde van deze verordening gemakkelijker uit te oefenen”.
23 Deze informatie was ook niet opgenomen in de guidance notes. In de guidance notes wordt door Uber onder meer toegelicht waar
de termen in de .csv-bestanden voor staan.
5/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
Ten aanzien van de taal
15. De AP heeft vastgesteld dat Uber bij het aanleveren van het CSV-bestand aan de chauffeurs24 “Guidance
notes” verstrekt in de Engelse taal. De Guidance notes kunnen echter pas worden benut (voor de betrokken
chauffeurs) wanneer het de betrokkene is gelukt om de informatie in het CSV-bestand overzichtelijk in
tabelvorm weer te geven (zie hiervoor). In de Guidance notes wordt uitleg gegeven over de waarden die in
de CSV-bestanden zijn vermeld. Per subcategorie en per bestand wordt vermeld wat de kolomtitels
betekenen en wat de informatie uit de tabel inhoudt.25 Het document geeft in 26 pagina’s uitleg over de
verschillende zeer specifieke tabelwaarden, zoals telematische gegevens en diverse apparaatgegevens. Die
informatie is essentieel om de verwerkte persoonsgegevens te kunnen begrijpen.
16. Op grond van artikel 12, eerste lid, van de AVG dient de verwerkingsverantwoordelijke passende
maatregelen te nemen om ervoor te zorgen dat de betrokkene de informatie begrijpt. De informatie moet
in duidelijke en eenvoudige taal aan hem worden verstrekt. Onder duidelijke en eenvoudige taal wordt
verstaan dat onbepaalde taal dient te worden vermeden en dat de verstrekte informatie concreet en
definitief moet zijn.26 De eis om duidelijke en eenvoudige taal te gebruiken houdt nauw verband met de
begrijpelijkheid. Om de informatie begrijpelijk te maken moet Uber dus rekening houden met het niveau
van taalvaardigheid van de doelgroep.27
17. Nu de aspirant chauffeurs eerst een examen moeten afleggen waarin onder meer wordt getoetst of deze de
Engelse taal beheerst op A2-niveau, conform het Common European Framework of Reference for
Languages (CEFR), gaat de AP ervan uit dat de chauffeurs (de doelgroep) de Engelse taal op (minimaal) A2
niveau zouden moeten beheersen. Voor het lezen en begrijpen van een tekst op A2-niveau geldt conform
het CEFR dat personen die beschikken over basiskennis van de taal vooral veelvoorkomende, eenvoudige
woorden kennen en kunnen gebruiken. Dit niveau richt zich op korte zinnen met alledaagse woorden en
eenvoudig taalgebruik zonder jargon of specifieke vaktermen.
18. Wanneer het gebruik van een (vreemde) taal (Engels) ertoe leidt dat de beoogde doelgroep (zoals
bijvoorbeeld de Franse chauffeurs) de informatie niet of onvoldoende kan begrijpen, rust op de
verwerkingsverantwoordelijke de verplichting om passende maatregelen te nemen. De wettelijke eis om
‘duidelijke en eenvoudige taal’ te gebruiken, zoals vastgelegd in artikel 12, eerste lid, AVG, staat in direct
verband met de vereiste begrijpelijkheid28 en dwingt de verwerkingsverantwoordelijke om de
informatievoorziening af te stemmen op de specifieke doelgroep. Voor Uber was het voorzienbaar dat een
aanzienlijk deel van de betrokken chauffeurs het Engels niet als moedertaal beheerst. Ook door het gebruik
van jargon en complexe zinsconstructies was de informatie niet toegankelijk voor betrokkenen met een
beginnend taalvaardigheidsniveau (A2-niveau) in de Engelse taal.29 Door geen gebruik te maken van
24 Het gaat om chauffeurs uit verschillende Europese landen.
25 Zie het onderzoeksrapport p. 13.
26 Zie de Richtsnoeren inzake transparantie, onder 8-12. Zie ook de overwegingen van de AVG 39 en 58.
27 Zie Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, paragraaf 13-14.
28 Zie Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, paragraaf 9 en de uitspraak van de rechtbank
Amsterdam van 4 juli 2024, ECLI:NL:RBAMS:2024:4019.
29 In dit verband kan gewezen worden op termen als “referral code”, “fleet status”, “convenience”, “dispatches”, “tematics data”,
“longitude”, “lattitude”, “surge”. Daarnaast wordt gedoeld op zinnen als: “Latitude of the beginning of the trip. For driver/rider canceled
trips, this reflects latitude part of coordinates of driver at the time trip was accepted”, “Client Surge multiplier of the trip (Note: "1" if
no surge)”, “The fraction of braking events on the trip that were deemed to be harsh brake”, “The max magnitude, in meters per second
squared, of the peak brake on each braking event”, “Latitude of the beginning of the trip. For driver/rider canceled trips, this reflects
latitude part of coordinates of driver at the time trip was accepted”, “Client Surge multiplier of the trip (Note: "1" if no surge)”, “If
6/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
duidelijke eenvoudige taal – en er geen of onvoldoende rekening mee te houden dat Engels niet de
moedertaal is van het merendeel van de chauffeurs – waren de door Uber verstrekte Guidance notes
onvoldoende duidelijk. Gelet op het taalvaardigheidsniveau van deze chauffeurs had Uber er op z’n minst
voor moeten zorgen dat de informatie in hun lokale taal beschikbaar was.30 Door dit na te laten heeft Uber
onvoldoende maatregelen genomen om ervoor te zorgen dat de betrokkene de informatie in de Guidance
notes in duidelijke en eenvoudige taal ontving. Uber heeft hiermee gehandeld in strijd met artikel 12,
eerste lid, van de AVG.
De verplichting tot facilitering van het inzagerecht
19. Op grond van artikel 12, tweede lid AVG is een verwerkingsverantwoordelijke verplicht om de betrokkene
te faciliteren bij de uitoefening van zijn of haar rechten uit hoofde van de artikelen 15 tot en met 22 van de
AVG.31 De door een verwerkingsverantwoordelijke aan een betrokkene geboden regeling om zijn of haar
rechten uit te oefenen dient daarbij passend te zijn voor de context en de aard van de betrekking en
interacties tussen de verwerkingsverantwoordelijke en een betrokkene.32
20. De AP stelt vast dat (Franse) chauffeurs erover hebben geklaagd dat zij het formulier om een inzageverzoek
te kunnen indienen niet, of moeilijk, konden vinden. In dit verband is tijdens het onderzoek door de AP
vastgesteld dat de chauffeurs acht tot negen33 handelingen moesten verrichten34 en vijf verschillende
menu’s moesten doorlopen om een inzageverzoek te kunnen indienen.35 Daarnaast ontbrak een instructie
die uitlegt hoe de chauffeurs dit formulier precies kunnen bereiken. De AP stelt vast dat de chauffeurs-app
van Uber derhalve niet gebruiksvriendelijk was ingericht en het voor betrokken chauffeurs onvoldoende
eenvoudig was om via de chauffeurs-app een inzageverzoek in te dienen. Uber had de chauffeurs-app zó
moeten inrichten dat het voor de chauffeurs duidelijk was hoe zij gebruik konden maken van hun rechten.
Het gelaagd aanbieden van informatie op een applicatie is weliswaar toegestaan, maar mag er niet toe
leiden dat het formulier voor betrokken moeilijk te vinden is waardoor zij hun rechten niet goed konden
uitoefenen. Door hierin onvoldoende faciliterend op te treden, heeft Uber in strijd gehandeld met artikel
12, tweede lid, van de AVG.
21. Uber heeft in bezwaar naar voren gebracht dat zij, naast de chauffeurs-app, ook andere mogelijkheden
(alternatieve routes)36 had opengesteld om betrokkenen te faciliteren in het uitoefenen van hun rechten.
Het enkele feit dat Uber alternatieve wegen heeft opengesteld, doet niet af aan de geconstateerde
overtreding. Aangezien de interactie tussen Uber en de chauffeurs hoofdzakelijk via de chauffeurs-app
verloopt, had Uber de uitoefening van het inzagerecht juist ook binnen die app op een afdoende wijze
moeten faciliteren.
rewindtrip was used by the driver, timestamp of the rewind in local time”, “Surge multiplier associated with the guaranteed surge
incentive applied to a trip. It is the actual payable multiplier applied and not available multiple from the incentive campaign.”
30 Uber dient de informatie beschikbaar die is afgestemd op de doelgroep. Dit volgt ook uit de Richtsnoeren inzake transparantie
overeenkomstig Verordening (EU) 2016/679, paragraaf 13-14.
31 Uit hoofde van de artikelen 15 tot en met 22 van de AVG
32 Zie ook Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, paragraaf 55.
33 De AP merkt op dat het formulier zonder authenticatie dus een stap eerder bereikbaar is dan met authenticatie. Dit leidt echter wel
weer tot meer vragen na het bereiken van het formulier en tot meer vragen na het indienen van een verzoek.
34 Zie onderzoeksrapport paragraaf 2.2.1.
35 Namelijk: “Menu, Help, Account and app issues, Legal concerns, Request your personal Uber data”
36 Zie, voor de omschrijving van de verschillende routes, het boetebesluit p. 5
7/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
De naleving van de informatieplicht (de transparantieverplichting)
22. De AP heeft in het boetebesluit, samengevat, geconcludeerd dat Uber onvoldoende transparant is geweest
met betrekking tot (1) de verstrekte informatie over de doorgifte van persoonsgegevens, (2) de toegepaste
bewaartermijnen en (3) het recht op gegevensoverdraagbaarheid. Uber stelt zich op het standpunt37 dat de
AP uitgaat van een verkeerde interpretatie van de AVG en dat zij in haar privacyverklaringen steeds de
vereiste informatie heeft verstrekt.
Informatie over doorgifte van persoonsgegevens
23. Op grond van artikel 13, eerste lid, aanhef en onder f, van de AVG moet de verwerkingsverantwoordelijke
betrokkenen onder meer informeren indien hij het voornemen heeft om de persoonsgegevens door te
geven aan een derde land. Voorts vereist dit artikel dat de betrokkene erover moet worden geïnformeerd of
er al dan niet een adequaatheidsbesluit van de Commissie bestaat, welke de passende of geschikte
waarborgen zijn en hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd.
24. De verstrekte informatie moet, in overeenstemming met het behoorlijkheidsbeginsel, ‘zo betekenisvol
mogelijk’ zijn.38 Wil een betrokkene weten aan welke landen zijn persoonsgegevens doorgegeven worden,
dan brengt het voorgaande met zich dat de betrokkene geïnformeerd moet worden over het land waaraan
zijn gegevens worden doorgegeven. Ter toelichting hierop kan nog worden opgemerkt dat het verstrekken
van deze informatie voor betrokkene essentieel is om de regie over zijn eigen gegevens te behouden. Voor
chauffeurs kan deze informatie zelfs van cruciaal belang zijn om persoonlijke veiligheidsrisico’s in
specifieke landen te vermijden. In het boetebesluit is vastgesteld dat de verschillende versies van de
privacyverklaring hierin tekort zijn geschoten.39 Hoewel Uber hierin wel vermeldde dat persoonsgegevens
aan derde landen werden doorgegeven, ontbrak de informatie over het specifieke land waarnaar de
gegevens werden verstuurd. Tevens ontbrak informatie over de getroffen waarborgen. Hierdoor heeft Uber
niet voldaan aan zijn informatieverplichting, zoals bedoeld in het vorengenoemde artikel. Daarnaast heeft
zij de betrokken chauffeurs er niet over geïnformeerd of er al dan niet een adequaatheidsbesluit van de
Commissie bestaat, en hoe er een kopie van kan worden verkregen of waar ze kunnen worden
geraadpleegd. Door dit na te laten heeft Uber in strijd gehandeld met artikel 13, eerste lid, aanhef en onder
f, van de AVG. Dit artikel staat geen andere uitleg toe. Naar het oordeel van de AP is de norm dan ook
voldoende duidelijk en kenbaar. Uber had op basis van deze bepaling kunnen, en moeten voorzien, dat de
verstrekte informatie onvoldoende was.
25. Dat in artikel 13, tweede lid van de AVG een nadere invulling wordt gegeven aan het
behoorlijkheidsbeginsel40 laat – in tegenstelling tot wat Uber stelt – de algemene gelding van dit beginsel
voor het eerste lid onverlet.41 Het tweede lid dient immers niet ter beperking of uitleg van het eerste lid,
maar vormt een zelfstandige aanvulling op de informatieverplichtingen die daaruit voortvloeien.
37 Zowel in bezwaar als eerder in haar zienswijze in de primaire fase.
38 Richtsnoeren inzake transparantie overeenkomstig Verordening (EU) 2016/679, pagina 44.
39 Namelijk die van 25 mei 2018, 12 november 2019,1 september 2021 en de bij de zienswijze verstrekte privacyverklaring van 13 juni
2022 (dossierstuk 25).
40 Van artikel 5, eerste lid, onder a, AVG.
41 Zie ook overweging 60 bij de AVG waarin het behoorlijkheidsbeginsel wordt genoemd in verband met verplichtingen uit het eerste
lid van artikel 13 AVG.
8/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
26. Uber heeft voorts gesteld dat het, gelet op de miljoenen reizende passagiers en alle toekomstige
bewegingen van die passagiers en chauffeurs, voor Uber praktisch onmogelijk is om vast te stellen naar
welke specifieke landen de gegevens worden doorgegeven. Naar het oordeel van de AP ontslaat dit Uber –
mede gelet op de (potentieel) grote belangen van betrokken chauffeurs42 – echter niet van haar
verplichting om aan haar informatieverplichting te voldoen. Uber had haar bedrijfsactiviteiten zo moeten
inrichten, dat zij aan de eisen van de AVG voldoet.
Informatie over bewaartermijnen
27. Op grond van artikel 13, tweede lid, aanhef en onder a, van de AVG moet de
verwerkingsverantwoordelijke, om een behoorlijke en transparante verwerking te waarborgen, de
betrokkene informatie verstrekken over de periode gedurende welke de persoonsgegevens zullen worden
opgeslagen, of, indien dat niet mogelijk is, de criteria ter bepaling van die termijn.
28. De AP heeft in het boetebesluit geconcludeerd dat Uber, gelet op de onderliggende feiten en
omstandigheden, mocht volstaan met het vermelden van de criteria ter bepaling van de bewaartermijn.43
De door Uber verstrekte informatie was echter onvoldoende concreet en te algemeen van aard. Door geen
voldoende specifieke criteria te noemen en slechts in algemene zin te vermelden dat persoonsgegevens
worden bewaard ‘zolang dit noodzakelijk is voor bepaalde doeleinden’, wordt de betrokkene feitelijk in het
ongewisse gelaten over de duur van de gegevensverwerking. Dergelijke vage bewoordingen stellen een
betrokkene niet in staat om de bewaartermijn zelf te bepalen of de rechtmatigheid daarvan te toetsen. Nu
Uber heeft nagelaten om specifieke en toetsbare criteria te verstrekken, heeft zij niet voldaan aan de
informatieverplichting uit artikel 13, tweede lid, aanhef en onder a, van de AVG.
29. De stelling van Uber dat de AP, wat betreft deze bepaling, geen overtreding kan vaststellen voor de periode
15 oktober 2020 tot 1 september 2021, volgt de AP niet. Uber heeft, zoals eerder in de primaire fase,
aangevoerd dat in deze periode de privacyverklaring van 15 oktober 2020 gold en dat daarin onder andere
meerdere concrete en betekenisvolle voorbeelden zijn opgenomen waarmee Uber vollediger is geweest en
de bewaartermijnen inzichtelijk heeft gemaakt. Uber heeft in de bezwaarfase geen nieuwe feiten of
omstandigheden aangevoerd ten opzichte van hetgeen zij al in haar zienswijze naar voren had gebracht.
Zoals de AP reeds voldoende gemotiveerd heeft in het boetebesluit,44 heeft Uber ook met de aangepaste
tekst in de privacyverklaring van 15 oktober 2020 onvoldoende inzicht gegeven in de bewaartermijnen,
omdat zij geen specifieke en toetsbare criteria heeft vermeld. Hierdoor worden de chauffeurs niet in staat
gesteld om te achterhalen welke bewaartermijn Uber hanteert voor hun individuele situatie.45
30. De AP heeft derhalve terecht geconcludeerd dat Uber in strijd heeft gehandeld met artikel 13, tweede lid,
aanhef en onder a, van de AVG.
42 Zoals reeds vermeld in randnummer 24.
43 In de privacyverklaring van 1 september 2021 noemt Uber weliswaar een bewaartermijn van zeven jaar, maar deze termijn is niet
voldoende concreet geformuleerd (het betreft alleen een minimale bewaartermijn en geldt 'in het algemeen' waarbij niet duidelijk is
onder welke omstandigheden deze termijn al dan niet van toepassing is) en heeft uitsluitend betrekking op die gevallen waarin een
verzoek tot verwijdering van een account is gedaan.
44 Zie het boetebesluit van 11 december 2023, p. 10
45 In de betreffende privacyverklaring wordt weliswaar een minimale termijn van zeven jaar genoemd, maar deze termijn is niet
voldoende concreet geformuleerd (het betreft alleen een minimale bewaartermijn en geldt 'in het algemeen' waarbij niet duidelijk is
onder welke omstandigheden deze termijn al dan niet van toepassing is) en heeft uitsluitend betrekking op die gevallen waarin een
verzoek tot verwijdering van een account is gedaan.
9/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
Informatie over gegevensoverdraagbaarheid
31. Op grond van artikel 13, tweede lid, aanhef en onder b, van de AVG moet de verwerkingsverantwoordelijke
aan betrokkene informatie verstrekken over zijn recht om de verwerkingsverantwoordelijke te verzoeken
om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende
verwerking. Voorts dient de verwerkingsverantwoordelijke de betrokkene te informeren over het recht om
tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid.
32. De AP heeft in het boetebesluit geconcludeerd dat Uber heeft nagelaten om betrokkenen in de
privacyverklaring te informeren over het recht op gegevensoverdraagbaarheid. Uber stelt zich op het
standpunt dat zij wel heeft geïnformeerd over het recht op gegevensoverdraagbaarheid en heeft
aangevoerd dat zij dit in de privacyverklaring aanduidt met de term 'receiving data'.
Zoals de AP ook in het boetebesluit heeft geconcludeerd, is het voor betrokkenen onvoldoende duidelijk
dat hiermee wordt bedoeld dat zij een verzoek kunnen doen tot overdracht van hun gegevens en daarmee
een belangrijk recht uit de AVG kunnen uitoefenen. Dit valt immers niet op te maken uit de term ‘receiving
data’, wat letterlijk betekent ‘te ontvangen gegevens’. Met het ontvangen van de persoonsgegevens die
door Uber worden verwerkt kan immers ook bijvoorbeeld ‘het gevolg geven aan het recht op inzage op
grond van artikel 15 van de AVG’ worden verstaan, of iets anders. De op de verwerkingsverantwoordelijke
rustende verplichting om betrokkenen conform de AVG te informeren over het recht op
gegevensoverdraagbaarheid, brengt inherent met zich mee dat dit recht separaat en expliciet moet worden
benoemd.46 Het enkel opnemen van een algemene verwijzing naar de rechten van betrokkenen volstaat niet,
aangezien de betrokkene concreet moet worden geïnformeerd over de rechten die in zijn specifieke
situatie van toepassing zijn.
33. Doordat Uber heeft nagelaten het recht op gegevensoverdraagbaarheid separaat en expliciet te benoemen,
heeft zij artikel 13, tweede lid, aanhef en onder b, van de AVG overtreden. De overtreding is met ingang van
3 november 202247 beëindigd, aangezien Uber vanaf deze datum het recht op gegevensoverdraagbaarheid
wel expliciet in haar privacyverklaring heeft benoemd.
Lex certa-beginsel / legaliteitsbeginsel
34. Uber stelt zich op het standpunt dat de AP geen bestuurlijke boete kan opleggen omdat het lex certa-
beginsel zich daartegen verzet. Volgens Uber toetst de AP haar handelen aan onduidelijke en specifieke
niet-uitgekristalliseerde criteria. Ook zou de AP nieuwe onvoorziene criteria introduceren voor de
naleving van artikel 12 en artikel 13 van de AVG. Volgens Uber handelt de AP hiermee met het
legaliteitsbeginsel. De AP volgt Uber niet in haar standpunt dat er sprake zou zijn van strijd met het lex
certa-beginsel.
35. Het lex certa beginsel48 vereist dat strafbepalingen duidelijk en begrijpelijk omschreven zijn.49 Daarmee
wordt echter niet uitgesloten dat de wetgever verboden gedragingen soms met een zekere vaagheid,
46.Zie ook de tabel in de bijlage bij de Richtsnoeren inzake transparantie, onder artikel 13, lid 2, onder b, AVG.
47 Vanaf 3 november 2022 voldoet Uber met de privacyverklaring aan haar transparantieverplichtingen.
48 Dat onder meer besloten ligt in artikel 49, eerste lid, van het Handvest van de grondrechten van de EU.
49 Volgens vaste jurisprudentie verlangt het lex certa-beginsel van de wetgever dat hij met het oog op de rechtszekerheid op een zo
duidelijk mogelijke wijze de verboden gedragingen omschrijft. Zie bijvoorbeeld de uitspraak van de ABRvS van 10 augustus 2023,
ECLI:NL:RBAMS:2023:5074 en de uitspraak van 17 april 2019, ECLI:NL:RVS:2019:1235.
10/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
bestaande uit het gebruik van algemene termen, moet omschrijven om te voorkomen dat gedragingen die
strafwaardig zijn buiten het bereik van die omschrijving vallen. Die vaagheid kan onvermijdelijk zijn om de
overzichtelijkheid van de wetgeving te bewaren en om effectief te kunnen reageren op toekomstige
technologische ontwikkelingen en bijbehorende schendingen van de te beschermen belangen.50
36. Tegen deze achtergrond kan niet worden gezegd dat de invulling van de normen van artikel 12 en 13 van de
AVG voor Uber onduidelijk of onvoorzienbaar is geweest. Hoewel deze bepalingen open normen bevatten,
bieden de tekst van de verordening en de context waarbinnen deze functioneert voldoende houvast voor
een professionele partij als Uber om haar handelen hierop af te stemmen. Dit heeft de AP hiervoor ook
duidelijk toegelicht.
De verwijtbaarheid
37. Uber heeft zich voorts op het standpunt gesteld dat de AP geen boete mocht opleggen omdat zij niet
opzettelijk of nalatig heeft gehandeld. Volgens Uber moet de AP bewijzen dat Uber opzettelijk of uit
nalatigheid heeft gehandeld. Uber benadrukt dat zij te goeder trouw heeft gehandeld en niet wist van enig
inbreuk makend karakter van haar gedrag.
38. De AP ziet in hetgeen Uber hierover naar voren heeft gebracht geen aanleiding om van het opleggen van
een boete af te zien. Dit licht de AP hieronder toe.
39. Zoals hiervoor is vastgesteld, moet geconcludeerd worden dat Uber in strijd heeft gehandeld met het
inzagerecht51 en is zij onvoldoende transparant geweest door onvoldoende informatie aan betrokkenen te
verstrekken.52 Een inbreuk op deze bepalingen kan op grond van artikel 83, tweede lid, van de AVG worden
beboet wanneer de verwerkingsverantwoordelijke verwijtbaar – dat wil zeggen opzettelijk of uit
nalatigheid – de bepalingen van de AVG schendt.53 Dit is ook verankerd in artikel 5:41 Awb, waarin het
schuldbeginsel als voorwaarde voor punitieve sanctionering is neergelegd. Bij de invulling van dit
schuldbeginsel is in de rechtspraak gepreciseerd dat een verwerkingsverantwoordelijke met een boete kan
worden gestraft wanneer hij niet onkundig kon zijn van het feit dat zijn gedraging een inbreuk opleverde,
ongeacht of hij zich ervan bewust was dat hij de bepalingen van de AVG schond. 54 Aan dit laatste criterium
is in deze zaak voldaan. Van een professionele en kapitaalkrachtige onderneming als Uber, die kan
beschikken over uitgebreide juridische expertise, mag worden verwacht dat zij zich volledig laat
informeren over haar verplichtingen op grond van de AVG. Gelet op de duidelijke bepalingen omtrent het
recht op inzage en de verplichting om informatie te verstrekken over de landen van doorgifte, de
bewaartermijnen en het recht op gegevensoverdraagbaarheid, moet geconcludeerd worden dat Uber niet
onkundig kon zijn van het feit dat haar handelen dan wel nalaten een inbreuk op de AVG vormde. Bovendien
kan bij overtreding van de wet geen ontheffing van straf volgen op basis van het argument dat men de wet
niet kende of, anders gezegd, men te goeder trouw was.
40. Nu Uber is tekortgeschoten in de zorgvuldigheid die zij als verwerkingsverantwoordelijke in het
maatschappelijk verkeer dient te betrachten, zijn de overtredingen haar volledig aan te rekenen. Er is geen
50 Zie de uitspraken van de ABRvS van 17 april 2019, ECLI:NL:RVS:2019:1235 en ABRvS 4 november 2020, ECLI:NL:RVS:2020:2631.
51 Zoals bedoeld in artikel 12, eerste en tweede lid, van de AVG.
52 Zoals bedoeld in artikel 13, eerste lid, aanhef en onder f, en tweede lid, aanhef en onder a en b, van de AVG
53 Zie de uitspraak HvJ-EU 5 december 2023, C-683/21, ECLI:EU:C:2023:950 (Deutsche Wohnen), r.o. 68 en 75.
54 Zie de uitspraak HvJ-EU 5 december 2023, C-683/21, ECLI:EU:C:2023:950 (Deutsche Wohnen), r.o. 76.
11/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
sprake van een situatie waarin elke vorm van verwijtbaarheid ontbreekt.55 De AP is dan ook bevoegd om
een boete op te leggen.
De boete
41. Nu de AP heeft vastgesteld dat zij bevoegd is om een boete op te leggen, dient zij vervolgens, in het kader
van de volledige heroverweging van het boetebesluit, te beoordelen of de boete nog steeds passend en
geboden is. De AP baseert de boete op de Richtsnoeren. Het standpunt van Uber dat in het onderhavige
geval de Boetebeleidsregels 201956 gelden, volgt de AP niet. Hierop zal onder randnummer 78 en verder
nader worden ingegaan.
De jaaromzet
42. Uber heeft gesteld dat de AP de boete verkeerd heeft berekend. In dat kader heeft zij in de eerste plaats
aangevoerd dat de AP ten onrechte de omzet van de hele ondernemingsgroep heeft meegenomen. Volgens
Uber had de AP zich, bij de vaststelling van het maximumbedrag, onder artikel 83, vijfde lid, van de AVG,
moeten beperken tot de jaaromzet van de unitaire organisatie die kan meewerken aan een inbreuk. Dit
volgt volgens Uber uit het Sumal-arrest.57 Uber heeft gesteld dat de AP ten onrechte de wereldwijde
jaaromzet van de onderneming heeft gebruikt voor de berekening van het startbedrag en dat , voor de
berekening van het wettelijke maximum, enkel de omzet had mogen worden betrokken die direct
voortkomt uit het aanbieden van de Uber Rides-diensten. De AP volgt Uber hierin niet en licht dit
hieronder toe.
43. Zoals reeds in het boetebesluit is opgemerkt, komt het begrip ‘onderneming’ uit artikel 83, vierde tot en
met zesde lid, van de AVG overeen met het begrip ‘onderneming’ in de zin van de artikelen 101 en 102 van
het Verdrag betreffende de werking van de Europese Unie (VWEU). Dit is ook recentelijk bevestigd door
het Hof van Justitie van de Europese Unie (HvJEU) in het ILVA-arrest.58 Daarin is samengevat overwogen
dat het maximumbedrag van de geldboete moet worden bepaald op basis van een percentage van de totale
wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming.59 Het begrip ‘onderneming’ is ook
van belang om de werkelijke of materiële economische draagkracht van de overtreder te beoordelen, zodat
de geldboete zowel doeltreffend, evenredig als afschrikkend is.
44. Uit het Sumal-arrest60 volgt niet dat er een andere uitleg kan worden gegeven aan de begrippen
'onderneming' en 'omzet' in een context als de onderhavige die afwijkt van de mededingingsrechtelijke
eenheid. Het arrest bevestigt juist dat het begrip 'onderneming' ziet op een economische eenheid, zelfs als
die uit verschillende rechtspersonen bestaat. Hiervan afwijken zou bovendien strijdig zijn met het
uitgangspunt dat een bestuurlijke boete een voldoende afschrikwekkende werking moet hebben. Voor een
effectieve handhaving is het immers noodzakelijk dat de boetegrondslag aansluit bij de volledige omzet
van de economische eenheid. Het buiten beschouwing laten van een substantieel deel van die omzet doet
af aan de beoogde preventieve werking.
55 Ook wel AVAS genoemd.
56 Beleidsregels van de Autoriteit Persoonsgegevens van 19 februari 2019 met betrekking tot het bepalen van de hoogte van
bestuurlijke boetes (Boetebeleidsregels Autoriteit Persoonsgegevens 2019), Staatscourant. 2019, 14586.
57 HvJEU 6 oktober 2021, ECLI:EU:C:2021 :800.
58 Zie HvJ EU 13 februari 2025, nr. C-383/23.
59 Dit volgt ook uit HvJEU 5 december 2023, C‑807/21, EU:C:2023:950, punt 57 (Deutsche Wohnen).
60 HvJEU 6 oktober 2021, ECLI:EU:C:2021:800.
12/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
45. Vast staat dat Uber B.V. een volle dochteronderneming is van Uber Technologies Inc. In het kader van
artikel 83 AVG worden zij daarom als één economische eenheid — en dus als dezelfde onderneming —
aangemerkt. Aangezien zij gezamenlijk verantwoordelijk zijn voor de gegevensverwerking, dient de boete
te worden bepaald op basis van de totale wereldwijde jaaromzet van deze gehele onderneming. De
jaaromzet van de onderneming over het boekjaar 2022 is, dan ook terecht bij het boetebesluit, vastgesteld
op € 29,75 miljard.61
Vaststellen handelingen en bepalen inbreuken62
46. De AP heeft in het boetebesluit gemotiveerd vastgesteld dat in de onderhavige zaak sprake is van twee van
elkaar te onderscheiden sanctioneerbare gedragingen (‘plurality of actions’). Het gaat om de overtreding
van het inzagerecht63 en de informatieplicht.64 Aangezien Uber hiertegen geen gronden heeft aangevoerd en
ook overigens niet is gebleken van nieuwe feiten of omstandigheden die tot een ander oordeel leiden, ziet
de AP geen aanleiding om van deze vaststelling af te wijken.
47. Het vorenstaande leidt tot de conclusie dat voor beide gedragingen afzonderlijk een boete kan worden
opgelegd tot het toepasselijke boetemaximum dat hieronder nader wordt toegelicht.
Het startbedrag van de boete65
48. Voor de oplegging van een boete dient conform de Richtsnoeren vervolgens het startbedrag te worden
bepaald. Volgens Uber heeft de AP bij het bepalen van het startbedrag van de boete ten onrechte een
percentage genomen van de (totale wereldwijde) omzet. De omzet zou naar het oordeel van Uber geen
relevante factor zijn voor het bepalen van het startbedrag van de boete.
49. De AP deelt dit standpunt niet en wijst erop dat zowel uit de AVG als uit de Richtsnoeren volgt dat de
omzet een factor is bij het bepalen van het startbedrag (ook wel het uitgangsbedrag genoemd). In dit kader
wijst de AP onder meer op artikel 83, eerste lid, van de AVG waarin is bepaald dat elke toezichthoudende
autoriteit ervoor moet zorgen dat de administratieve geldboeten die worden opgelegd in elk individueel
geval doeltreffend, evenredig en afschrikkend zijn. Bij het bepalen van de boete, dat begint met het bepalen
van het startbedrag, is de omzet van een onderneming een relevante factor om ervoor te zorgen dat de
boete aan deze drie voorwaarden voldoet.66 De Richtsnoeren bepalen expliciet dat de omzet van de
onderneming één van de drie elementen is voor het bepalen van het startbedrag.67 In de regel geldt dat hoe
hoger de omzet van de onderneming is binnen het toepasselijke niveau, des te hoger het startbedrag
waarschijnlijk zal zijn.68
61 Het moet gaan om de wereldwijde jaaromzet in het voorgaande boekjaar. Aangezien de boete is opgelegd in 2023, gaat het om het
boekjaar 2022. Zie het boetebesluit, p. 20.
62 Stap 1 van de Richtsnoeren.
63 Zoals bedoeld in artikel 12, eerste en tweede lid, AVG.
64 Zoals bedoeld in artikel 13, eerste lid, aanhef en onder f, en tweede lid, aanhef en onder a en b, van de AVG.
65 Stap 2 van de Richtsnoeren.
66 Zie de Richtsnoeren, randnummer 17 en 64 en het Bindend besluit EDPB 1/2021, punten 411 en 412.
67 Zie Richtsnoeren, randnummer 17 (stap 2).
68 Zie de Richtsnoeren, randnummer 67 en de leeswijzer bij de Richtsnoeren.
13/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
50. Verder kan gewezen worden op het eerder aangehaalde ILVA-arrest,69 waarin het HvJEU heeft bevestigd
dat de werkelijke of materiële economische draagkracht van degene aan wie de geldboete wordt opgelegd
relevant is voor de beoordeling of de geldboete zowel doeltreffend, evenredig als afschrikkend is. Hoewel
het arrest primair ziet op de uitleg van het begrip ‘onderneming’ en ‘het boetemaximum’, volgt ook uit dit
arrest dat de omzet relevant is voor het bepalen van de draagkracht. Door de omzet al in de beginfase van
de berekening mee te wegen, wordt gewaarborgd dat de boete een voldoende afschrikwekkend effect
sorteert ten aanzien van de specifieke onderneming.
51. In het kader van de heroverweging van het boetebesluit heeft de AP opnieuw gekeken of de AP bij het
boetebesluit het startbedrag op een juiste wijze is vastgesteld. De AP concludeert dat het startbedrag
terecht en op goede gronden is vastgesteld op € 5 miljoen per overtreding (€ 10 miljoen in totaal). Dit licht
de AP hieronder toe.
52. Uit de Richtsnoeren volgt dat het startbedrag wordt bepaald op basis van een beoordeling van:
a) de indeling in artikel 83, leden 4 tot en met 6, AVG;
b) de zwaarte van de inbreuk krachtens artikel 83, tweede lid, onder a, b en g, AVG;
c) de omzet van de onderneming als relevant element om rekening mee te houden met het oog op het
opleggen van een doeltreffende, afschrikkende en evenredige geldboete op grond van artikel 83, eerste lid,
AVG.70
53. In het onderhavige geval leidt de toepassing van deze systematiek tot de volgende vaststelling van het
startbedrag:71
a) De indeling:
54. De overtreding van de inzageplicht en de informatieplicht vallen binnen het hoogste wettelijk
boetemaximum van € 20 miljoen of, indien dit hoger is, 4% van de totale wereldwijde jaaromzet in het
voorafgaande boekjaar.
b) Zwaarte van de inbreuk:
55. De ernst van de inbreuken is in het boetebesluit aangemerkt als ‘laag’.72 Overeenkomstig de Richtsnoeren
bedraagt het startpunt voor de berekening van een inbreuk met een lage ernst tussen de 0% en 10% van het
boetemaximum.73
c) De omzet als relevant element met het oog op het opleggen van een doeltreffende, afschrikkende en evenredige
geldboete:
56. Bij het bepalen van een doeltreffende, afschrikkende en evenredige geldboete wordt de omzet van Uber als
relevant element betrokken. Gelet op de totale wereldwijde jaaromzet van € 29,75 miljard bedraagt het
69 Zie HvJ EU 13 februari 2025, nr. C-383/23.
70 Zie Richtsnoeren, randnummer 17.
71 Zie voor een meer uitgebreide toelichting op de berekening van het startbedrag het boetebesluit § 5.3.2.
72 Na een beoordeling van de aard, zwaarte en duur van de overtreding (art. 83, lid 2, sub a, AVG), de opzettelijke of nalatige aard van de
inbreuk (art. 83, lid 2, sub b, AVG) en de categorieën van persoonsgegevens (art. 83, lid 2, sub g, AVG) komt de AP concludeert de AP dat
de ernst van de overtredingen moeten worden aangemerkt als ‘laag’. Voor een motivering van deze conclusie verwijst de AP naar het
boetebesluit, § 5.3.2.
73 Zie Richtsnoeren, randnummer 60.
14/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
boetemaximum € 1,19 miljard (4% van de jaaromzet). 74 Nu is vastgesteld voor beide gedragingen75
afzonderlijk een boete kan worden opgelegd, geldt per overtreding een wettelijk boetemaximum van € 1,19
miljard.
57. Hoewel de omvang van de totale wereldwijde jaaromzet een aanzienlijk boeteplafond (€ 1,19 miljard) met
zich brengt, rechtvaardigen de specifieke omstandigheden van dit geval een vaststelling aan de onderzijde
van de toepasbare bandbreedte, omdat de vastgestelde inbreuken, gelet op de in het boetebesluit
omschreven feiten en omstandigheden, op zichzelf van geringe ernst zijn.76
58. Tegen deze achtergrond moet er een evenwicht worden gevonden. Uit artikel 83, eerste lid, AVG volgt dat
de boete niet alleen doeltreffend en afschrikwekkend moet zijn, maar ook evenredig dient te zijn. De AP
komt dan uit op een startbedrag € 5 miljoen per overtreding (€ 10 miljoen in totaal). Dat is slechts 0,42%
van het wettelijk boetemaximum. Een hogere boete zou in dit specifieke geval leiden tot een sanctie die
niet in verhouding staat tot de geringe aard van de overtreding. Een boete van € 5 miljoen per overtreding
is naar het oordeel van de AP, ook voor een onderneming van deze omvang, nog steeds voldoende
doeltreffend en afschrikkend. De AP concludeert uit het vorenstaande dat het startbedrag bij het
boetebesluit dan ook terecht is vastgesteld op € 5 miljoen per inbreuk.
Beoordelen relevante omstandigheden77
59. Na het bepalen van het startbedrag, dient vervolgens te worden beoordeeld of in de omstandigheden van
het geval aanleiding wordt gevonden om de boete hoger of lager vast te stellen dan het hiervoor bepaalde
startbedrag.
60. De AP heeft bij het vaststellen van het startbedrag hiervoor reeds rekening gehouden met de aard, zwaarte
en duur van de overtreding,78 de opzettelijke of nalatige aard van de inbreuk79 en de categorieën van
persoonsgegevens.80 Op basis van die factoren heeft de AP geconcludeerd dat de ernst (de zwaarte) van de
overtreding moet worden aangemerkt als ‘laag’. De wijze waarop de inbreuken ter kennis van de AP zijn
gekomen,81 is in het primaire besluit als 'neutraal' aangemerkt. Dit betekent dat de betreffende
omstandigheden geen aanleiding hebben gegeven om de boete verder te verhogen . Nu Uber deze
kwalificaties ook niet heeft bestreden - en door haar bovendien geen nieuwe feiten of omstandigheden zijn
aangevoerd die tot een andere weging zouden moeten leiden – ziet de AP geen aanleiding om van de
eerder getrokken conclusie af te wijken.
61. Uber betoogt dat er aanvullende omstandigheden zijn die als verzachtende factor in de zin van artikel 83,
tweede lid, AVG moeten worden meegewogen. De AP volgt Uber niet in dit standpunt en licht dit
hieronder toe.
74 De totale wereldwijde jaaromzet van Uber in het boekjaar 2022 bedroeg € 29.750.000.000,--. 4% van € 29.750.000.000,-- is
€ 1.190.000.000,--.
75 D.w.z. de overtreding van het inzagerecht (artikel 12, eerste en tweede lid, AVG) en de overtreding van de informatieplicht (artikel 13,
eerste lid, aanhef en onder f, en tweede lid, aanhef en onder a en b, van de AVG).
76 De AP heeft hierbij o.m. rekening gehouden met de aard, zwaarte en duur van de overtreding, de opzettelijke of nalatige aard van de
inbreuk en de categorieën van persoonsgegevens. Zie het boetebesluit, § 5.3.2.
77 Stap 3 van de Richtsnoeren.
78 Zoals bedoeld in artikel 83, tweede lid, onder a, AVG.
79 Zoals bedoeld in artikel 83, tweede lid, onder b, AVG.
80 Zoals bedoeld in artikel 83, tweede lid, onder g, AVG.
81 Zoals bedoeld in artikel 83, tweede lid, sub h, AVG.
15/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
Het meewerken aan het onderzoek
62. De AP ziet geen aanleiding tot het verlagen van het boetebedrag voor het, zoals Uber het noemt, het
constructieve gedrag tijdens het onderzoekstraject. De AP wijst erop dat de medewerking van Uber niet
verder is gegaan dan haar wettelijke plicht om hieraan te voldoen.82 Deze algemene plicht geldt voor alle
partijen die onderwerp zijn van onderzoek. Uber heeft niet op een bijzondere wijze aan het onderzoek van
de AP meegewerkt om bijvoorbeeld de nadelige gevolgen van de overtredingen weg te nemen door
bijvoorbeeld schade van de chauffeurs te compenseren. De medewerking moet dus als neutraal worden
beschouwd en kan dus niet worden meegenomen als een verzachtende factor. 83
De lange duur van het onderzoek
63. Naar het oordeel van Uber dient het lange tijdsbestek tussen het onderzoeksrapport en het boetebesluit als
een verzachtende omstandigheid worden meegenomen. De AP deelt dit standpunt niet en wijst erop dat
de duur van de procedure geen onderdeel uitmaakt van de limitatieve opsomming van wegingsfactoren in
artikel 83, tweede lid, AVG.
64. Daarnaast moet worden opgemerkt dat Uber pas één maand voorafgaand aan het boetebesluit van
11 december 2023 de (laatste) overtreding heeft beëindigd.84 Uber heeft de onrechtmatige situatie derhalve
gedurende het gehele onderzoek, en zelfs ruim na de vaststelling van het onderzoeksrapport, laten
voortbestaan. In plaats van een matigende factor, onderstreept dit de duur van de inbreuk (artikel 83,
tweede lid, onder a, AVG), hetgeen eerder een verzwarende dan een verzachtende omstandigheid vormt.
Overigens wijst de AP Uber erop dat de duur van de procedure, gelet op de complexiteit van de zaak, de
grensoverschrijdende aspecten85 en de daaruit voortvloeiende langere doorlooptijden, niet als onredelijk
kan worden aangemerkt. De AP ziet in hetgeen is aangevoerd dan ook geen aanleiding om het startbedrag
verder te matigen.
Ten aanzien van de verzachtende omstandigheden in andere boetebesluiten.
65. Uber stelt dat de AP in strijd met het gelijkheidsbeginsel en het rechtszekerheidsbeginsel handelt, omdat
zij de verzachtende omstandigheden van artikel 83, tweede lid, AVG in andere zaken86 anders gewogen zou
hebben dan in de onderhavige zaak.
66. De AP volgt Uber hierin niet en wijst er uitdrukkelijk op dat bij de vaststelling van een bestuurlijke boete
sprake is van individueel maatwerk. De feiten en omstandigheden in de door Uber aangehaalde
boetebesluiten zijn naar hun aard en ernst wezenlijk verschillend van de onderhavige casus, waardoor een
identieke weging niet in de rede ligt. Van een schending van het rechtszekerheidsbeginsel is evenmin
sprake, nu de boetehoogte is vastgesteld binnen de wettelijke kaders van de AVG en de Richtsnoeren. De
onderliggende feiten en omstandigheden van dit specifieke feitencomplex zijn anders dan in de genoemde
boetebesluiten en heeft dus geleid tot een andere weging van omstandigheden.
82 Zie artikel 31 AVG.
83 Zie de Richtsnoeren, randnummer 95-97.
84 Het gaat om de overtreding van artikel 13, tweede lid, aanhef en onder b, AVG. Het recht op gegevensoverdraagbaarheid is pas per
3 november 2022 in de privacyverklaring vermeld.
85 Gelet op de samenwerking- en coherentie-procedure, zoals bedoeld in hoofdstuk VII van de AVG.
86 Uber verwijst hierbij naar de besluiten inzake Takeaway.com Group van 20 augustus 2024, Netflix International B.V. van 26
november 2024, Coolblue B.V. van 23 december 2024 en AS Watson (Health & Beauty Continental Europe) B.V. (Kruidvat) van 27 mei
2025.
16/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
67. De omstandigheid dat in andere zaken lagere boetes zijn opgelegd, rechtvaardigt evenmin het standpunt
van Uber dat in strijd is gehandeld met het gelijkheids- of rechtszekerheidsbeginsel. De hoogte van een
bestuurlijke boete wordt immers niet abstract bepaald, maar is het resultaat van een integrale afweging
van alle relevante factoren van het specifieke geval. Verschillen in de aard, ernst en duur van de inbreuk, de
mate van verwijtbaarheid, de (inter)nationale context van de zaak, de omvang van de onderneming en de
getroffen maatregelen ter beperking van de schade, leiden noodzakelijkerwijs tot een gedifferentieerde
boetetoemeting. Het feit dat de AP in andere dossiers tot een lagere sanctie is gekomen, doet dan ook niet
af aan de rechtmatigheid en evenredigheid van de thans opgelegde boete. Een vergelijking met andere
boetebesluiten kan enkel slagen indien sprake is van rechtens gelijke gevallen, hetgeen hier niet aan de
orde is.
68. De door Uber aangevoerde feiten en omstandigheden geven derhalve geen aanleiding tot een andere
weging van de criteria van artikel 83, tweede lid, AVG. Aangezien deze toetsing in de primaire fase reeds
integraal en naar behoren heeft plaatsgevonden, en er in bezwaar geen nieuwe verzachtende
omstandigheden zijn overgelegd, concludeert de AP dat er geen correctie plaatsvindt op het startbedrag
van € 5 miljoen voor overtreding van het inzagerecht en het startbedrag van € 5 miljoen voor overtreding
van de informatieplicht.
Toetsing aan het wettelijk boetemaximum87
69. Conform de systematiek van de Richtsnoeren dient vervolgens te worden getoetst of het boetebedrag, van
€ 5 miljoen per overtreding, het wettelijk boetemaximum88 niet overschrijdt.
70. De AP stelt vast dat de boete van € 5 miljoen per overtreding aanzienlijk onder het wettelijk
boetemaximum van € 1,19 miljard89 blijft. Er is derhalve geen aanleiding om de hoogte van de boetes op
grond van deze stap naar beneden bij te stellen.
Beoordeling vereisten van doeltreffendheid, evenredigheid en afschrikking90
71. Tot slot moet worden beoordeeld of de boete doeltreffend, evenredig en afschrikkend is. Ingevolge artikel
49, derde lid, van het Handvest van de grondrechten van de EU en de artikelen 3:4 en 5:46, tweede lid, van
de Awb, mag de bestuurlijke boete, gelet op de omstandigheden van het geval, niet leiden tot een
onevenredige boete.
72. Uber heeft, samengevat, aangevoerd dat er geen noodzaak was om een punitieve sanctie op te leggen.
Volgens Uber had de AP van het opleggen van een boete moeten afzien en had zij kunnen volstaan met een
minder ingrijpend toezichtinstrument. Een normerend gesprek zou volgens Uber in dit geval een meer
adequaat middel zijn geweest. Voor zover er al een boete opgelegd zou moeten worden, stelt Uber dat de
hoogte daarvan onevenredig is in verhouding tot de aard en de ernst van de gestelde overtredingen
73. De AP volgt Uber niet in dit standpunt en wijst erop dat de AVG beoogt een gelijkwaardig en hoog niveau
van bescherming van natuurlijke personen te waarborgen. Ter versterking van de handhaving schrijft de
87 Stap 4 van de Richtsnoeren.
88 Het wettelijk boetemaximum is 4% van de totale wereldwijde jaaromzet en volgt uit artikel 83, lid 5, AVG.
89 Dit is 4% van de totale wereldwijde jaaromzet.
90 Stap 5 van de Richtsnoeren.
17/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
verordening voor dat bij inbreuken passende sancties — waaronder administratieve geldboeten — moeten
worden opgelegd.91 Door hun afschrikkende werking vormen administratieve geldboeten een
sleutelelement om de eerbiediging van de rechten van betrokkenen te waarborgen.92
74. De AP wijst erop dat het hier gaat om een structurele en omvangrijke gegevensverwerking door een
mondiale onderneming, waarbij de privacyrechten van duizenden Europese chauffeurs in het geding zijn.
Bovendien zijn de vastgestelde inbreuken van lange duur geweest. Het versturen van slechts een
normerende brief of het opleggen van een berisping93 acht de AP in deze situatie dan ook niet opportuun.
Dergelijke toezichtsinstrumenten zijn bedoeld voor kleine incidentele inbreuken94 die zien op één of een
enkele betrokkene. Deze instrumenten zouden dan geen afschrikwekkend effect sorteren en zouden geen
recht doen aan de ernst van de door Uber overtreden bepalingen. Het gaat hier om inbreuken die vallen
onder de hoogste boetecategorie, waarmee de Uniewetgever ondubbelzinnig tot uitdrukking heeft
gebracht dat dergelijke inbreuken tot de meest ernstige categorie overtredingen behoren die streng
moeten worden bestraft.95 Gelet op de onderliggende feiten en omstandigheden concludeert de AP dat het
opleggen van een boete in dit geval passend en geboden is om het door de Uniewetgever beoogde hoge
niveau van bescherming te handhaven.
75. De AP ziet op grond van het evenredigheidsbeginsel geen aanleiding om tot een lagere boete te komen, nu
een lagere boete naar haar oordeel onvoldoende doeltreffend, afschrikkend zou zijn om de vastgestelde
inbreuken te sanctioneren. Met de evenredigheid heeft de AP reeds bij de vaststelling van het startbedrag
rekening gehouden, waardoor dit beginsel inherent in de boeteberekening is gewaarborgd.96 Gelet op de
specifieke feiten en omstandigheden van het geval is de AP daarbij uitgekomen op een startbedrag van
€ 5 miljoen (slechts 0,42% van het wettelijke boetemaximum per overtreding).97
76. Voor een verder matiging is volgens vaste rechtspraak vereist dat op basis van door de beboete organisatie
overgelegde financiële gegevens moet worden geoordeeld dat deze door de opgelegde boete onevenredig
zwaar wordt getroffen.98 Uber heeft echter geen feiten of omstandigheden aangevoerd, noch onderbouwd
met objectieve gegevens, waaruit blijkt dat zij de boete gelet op haar financiële draagkracht niet kan
dragen. Ook ziet de AP geen andere redenen om aan te nemen dat Uber onevenredig zwaar wordt
getroffen.
91 Zie o.m. de overwegingen 10 en 148 van de AVG.
92 Zie HvJ-EU 5 december 2023, C-683/21, ECLI:EU:C:2023:950 (Deutsche Wohnen), r.o. 73 en 5 december 2023, ECLI:EU:C:2023:949, C-
683/21 (Nacionalinis), r.o. 78
93 Zoals bedoeld in artikel 58, tweede lid, onder b, AVG.
94 Zie WP29, Richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten in de zin van Verordening (EU) 2016/679,
WP253, p. 9.
95 Het gaat hier immers om inbreuken die vallen onder de zwaarste categorie boetes. Ingevolge artikel 83, vijfde lid, aanhef en onder b,
van de AVG bedraagt het wettelijk boetemaximum voor deze inbreuken € 20.000.000,- dan wel 4% van de wereldwijde jaaromzet. De
Uniewetgever heeft hiermee ondubbelzinnig tot uitdrukking gebracht dat schendingen van de informatieplicht en de rechten van
betrokkenen tot de meest ernstige categorie overtredingen behoren die een stringente bestraffing behoeven zoals bedoeld in artikel
83, lid 5, AVG.
96 Dit bedrag is nadien niet meer, naar aanleiding van de factoren die zijn genoemd in artikel 83, tweede lid, AVG, verhoogd en is dus
constant gebleven..
97 Hoewel de AP de concrete ernst van deze specifieke inbreuken als zeer gering heeft aangemerkt laat dit de noodzaak tot het
opleggen van een boete onverlet.
98 Zie bijvoorbeeld ABRvS van 24 december 2024, ECLI:NL:RVS:2024:5293, onder 13.1 en ABRvS van 21 maart 2012,
ECLI:NL:RVS:2012:BV9509, onder 2.15.
18/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
77. Een boete van € 5 miljoen per overtreding is dan ook het absolute minimum om te waarborgen dat de
sanctie niet als een verwaarloosbare kostenpost wordt beschouwd, maar leidt tot de noodzakelijke
specifieke en algemene afschrikking. Op grond van het vorenstaande acht de AP acht de opgelegde boete
van € 5 miljoen per overtreding (€ 10 miljoen in totaal) dan ook passend en geboden.
Het boeteregime
78. Uber heeft zich op het standpunt gesteld dat de AP de boete niet had mogen baseren op de Richtsnoeren,99
maar is van mening dat – voor zover er al een boete opgelegd had mogen worden – de boete bepaald had
moeten worden aan de hand van de Boetebeleidsregels 2019.100 In dit kader is onder meer naar voren
gebracht dat de overtredingen hebben plaatsgevonden voordat de Richtsnoeren waren vastgesteld en dat
op grond van de Boetebeleidsregels 2019 tot een veel lagere boete zou zijn gekomen. Verder is Uber van
oordeel dat op grond van het vertrouwensbeginsel, toepassing moet worden gegeven aan de
Boetebeleidsregels, omdat de AP dat in haar brief van 8 juli 2022 zou hebben toegezegd.
79. De AP volgt Uber niet in haar bezwaar en wijst erop dat de Richtsnoeren door de EDPB101 zijn vastgesteld
op 24 mei 2023, met het oog op de harmonisatie van de methode die de toezichthoudende autoriteiten
gebruiken om het bedrag van de geldboete te berekenen. Deze Richtsnoeren zijn van toepassing op alle
soorten verwerkingsverantwoordelijken en verwerkers,102 met uitzondering van natuurlijke personen
wanneer zij niet als ondernemingen handelen.103 Deze Richtsnoeren zijn op 24 mei 2023 onmiddellijk in
werking getreden en bevatten geen overgangsbepaling. Hierdoor zijn de Richtsnoeren, naast de nieuwe
zaken, ook direct van toepassing (geworden) op de lopende handhavingszaken, zoals de onderhavige zaak
destijds. Er was op het moment dat de Richtsnoeren directe werking verkregen immers nog geen
handhavingsbesluit genomen. Het boetebesluit is later, ruim zes maanden ná de inwerkingtreding van de
Richtsnoeren, genomen.
80. De Richtsnoeren bepalen de kaders waarbinnen de AP haar discretionaire bevoegdheid (om een boete op
te leggen) moet uitoefenen. De AP moet haar keuzes motiveren binnen de grenzen van de Europese
afspraken. Een uiteenlopend boetebeleid tussen lidstaten zou kunnen leiden tot rechtsongelijkheid. Nu de
EDPB een specifieke methodiek heeft ontwikkeld voor boeteberekening, moet de AP haar discretionaire
bevoegdheid in lijn met dit Europese kader uitoefenen.
81. De AP volgt Uber niet in haar bezwaar dat de AP in haar brief van 8 juli 2022 een toezegging zou hebben
gedaan dat de Boetebeleidsregels 2019 zouden worden toegepast. Volgens vaste rechtspraak104 is voor een
geslaagd beroep op het vertrouwensbeginsel vereist dat sprake is van uitlatingen of gedragingen die bij de
betrokkene redelijkerwijs de indruk wekken van een welbewuste standpuntbepaling over de uitoefening
van een bevoegdheid in een specifiek geval. De brief van 8 juli 2022 bevat geen dergelijke
standpuntbepaling, maar verwijst naar de toepasselijke nationale beleidsregels van dat moment. De brief
kan dus niet worden gekwalificeerd als een toezegging dat de AP de boetebeleidsregels 2019 zou toepassen
99 EDPB Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten krachtens de AVG, vastgesteld op 24 mei 2023.
100 Beleidsregels van de Autoriteit Persoonsgegevens van 19 februari 2019 met betrekking tot het bepalen van de hoogte van
bestuurlijke boetes (Boetebeleidsregels Autoriteit Persoonsgegevens 2019), Staatscourant. 2019, 14586.
101 Op grond van artikel 70, eerste lid, onder k, AVG.
102 Overeenkomstig artikel 4, sub 7 en 8, AVG.
103 Zie de Richtsnoeren, randnummer 9.
104 Zie o.m. ABRvS 29 mei 2019, ECLI:NL:RVS:2019:1694 (Amsterdams Dakterras). Deze uitspraak werd voorafgegaan door een
uitvoerige conclusie van A-G Wattel van 20 maart 2019 (ECLI:NL:RVS:2019:896).
19/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
en zou afzien van haar wettelijke plicht om Europese regels (hoger recht) toe te passen. Er is naar het
oordeel van de AP dan ook geen sprake van schending van het vertrouwensbeginsel. Bij het boetebesluit
van 11 december 2023 heeft de AP, bij het bepalen van de hoogte van de boete, zich dan ook terecht
gebaseerd op de Richtsnoeren.
82. Verder wijst de AP erop dat het standpunt van Uber, dat toepassing van de oude Beleidsregels 2019 zou
resulteren in een lagere boete, berust op een verkeerde veronderstelling. Ook op basis van de
Boetebeleidsregels 2019 zou de boete zijn uitgekomen op een boete van € 5 miljoen per overtreding (€ 10
miljoen in totaal).105 Dit wordt hieronder nader toegelicht.
83. De AP heeft vastgesteld dat Uber in strijd heeft gehandeld met de artikelen 12 en 13 van de AVG. Beide
inbreuken zijn in de Boetebeleidsregels 2019 ingedeeld in categorie III. Voor een overtreding in deze
categorie, geldt dat een boete kan worden opgelegd binnen de boetebandbreedte tussen € 300.000,-- en
€ 750.000,--.106 Van deze boetebandbreedte kan worden echter worden afgeweken indien sprake is van
een overtreding die is begaan door een onderneming en de voor de overtreding bepaalde boetecategorie in
het concrete geval geen passende bestraffing toelaat.107 De AP zou dan op grond van artikel 8.4 van de
Boetebeleidsregels 2019 een (hogere) boete kunnen opleggen tot maximaal 4% van de totale wereldwijde
omzet in het voorgaande boekjaar.108 Dit zou uitkomen op een bedrag van € 1,19 miljard.109 De totale
wereldwijde omzet kon ook onder de Beleidsregels 2019 als factor worden meegenomen om een boete op
te leggen. Met name ook omdat Uber B.V. een volle dochteronderneming is van Uber Technologies Inc. en
gezamenlijk verantwoordelijk zijn voor de gegevensverwerking. Aangezien de AP op grond van de
Richtsnoeren op hetzelfde boetemaximum van € 1,19 miljard uitkomt en bij het bepalen van de boete
dezelfde factoren op dezelfde wijze zou wegen, zou de AP op basis van de Boetebeleidsregels 2019,
uitkomen op hetzelfde boetebedrag van € 5 miljoen per overtreding. Nu de boete onder het oude regime
niet lager uitvalt, is er ten aanzien van de Boetebeleidsregels 2019 geen sprake van een voor Uber gunstiger
recht dat had moeten worden toegepast. Het beroep op het lex mitior-beginsel treft dan ook geen doel.
105 De hoogte van de boete voor overtreding van artikel 12, eerste en tweede lid, AVG is bepaald op € 5.000.000,--. De boete voor
overtreding van artikel 13, eerste lid, aanhef en onder f, en tweede lid, aanhef en onder a en b, van de AVG is ook vastgesteld op
€ 5.000.000,--.
106 Zie artikel 2.3 van de Boetebeleidsregels 2019.
107 Het opleggen van een boete van € 750.000,-- zou in de onderhavige zaak geen passende bestraffing zijn, omdat de boete dan niet
voldoet aan de voorwaarden dat de boete doeltreffend, evenredig en afschrikkend moet zijn. Hierbij wordt ook rekening gehouden
met de in artikel 7 van de Boetebeleidsregels 2019 genoemde factoren. Deze factoren zijn ontleend aan artikel 83, tweede lid, van de
AVG.
108 Zie bijlage 2, behorende bij artikel 2 van de Boetebeleidsregels 2019.
109 De totale wereldwijde jaaromzet van Uber in het boekjaar 2022 bedroeg € 29,75 miljard. 4% van € 29,75 miljard betreft € 1,19 miljard.
20/21
Datum Ons kenmerk
3 maart 2026 XXXX-XXXXX
5. Conclusie
84. Ingevolge artikel 7:11, eerste lid, van de Awb heeft de AP het boetebesluit heroverwogen. Op grond van
deze heroverweging ziet de AP geen aanleiding om boetebesluit te herroepen. De AP handhaaft, met
inachtneming van de vorenstaande motivering, het boetebesluit van 11 december 2023.
Hoogachtend,
Autoriteit Persoonsgegevens,
mr. A. Wolfsen
voorzitter
Rechtsmiddelenclausule
Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het
besluit ingevolge de Algemene wet bestuursrecht een beroepschrift indienen bij de rechtbank (sector
bestuursrecht) in het arrondissement, waarbinnen uw woonplaats of vestigingsplaats valt. U dient een
afschrift van dit besluit mee te zenden. Het indienen van een beroepschrift schort de werking van dit
besluit niet op.
Voor het indienen van beroep bij de rechtbank zijn kosten verschuldigd aan de rechtbank (griffierecht).
Voor de hoogte van het bedrag van deze kosten kan worden gekeken op de internetpagina van de
rechtspraak:
https://www.rechtspraak.nl/Naar-de-rechter/Kosten-rechtszaak/Griffierecht/Paginas/Griffierecht-
bestuursrecht.aspx
21/21