Cyber-risques : plus d'un million d'euros d'amendes pour Uber

La plateforme de réservation de voitures avec chauffeur Uber a été condamnée mardi 27 novembre 2018 à des amendes dépassant le million d’euros. En cause, la non-divulgation d’un piratage de données personnelles ayant eu lieu à l’automne 2016 et ayant affecté 57 millions de clients et chauffeurs à travers le monde. Coup de projecteur.

Un « mépris total » des victimes de cette attaque cyber

Uber a été condamné au paiement de deux amendes, l’une de 435 000 euros prononcée par les autorités britanniques et l’autre d’un montant de 600 000 euros prononcée par leurs homologues néerlandais. Soit des amendes dépassant le million d’euros.

Ces deux décisions viennent sanctionner l’attitude jugée coupable de l’entreprise Uber. En octobre et novembre 2016, une cyberattaque avait permis à des pirates informatiques de mettre la main sur les données personnelles de 57 millions de clients et chauffeurs Uber dans le monde. L’entreprise avait alors décidé de passer cette attaque sous silence jusqu’en novembre 2017.

Une amende de 148 millions de dollars aux Etats-Unis

L’Information Commissioner's Office (ICO), organisme public britannique chargé notamment de la protection des données, a précisé que les hackers s’étaient emparés des noms, e-mail et numéros de téléphone de 2,7 millions de clients au Royaume-Uni, et ce, à partir d’un espace de stockage numérique exploité par la société-mère d’Uber.

Directeur des investigations auprès de l’ICO, Steve Eckersley évoque une « grave défaillance du système de sécurité des données » doublée d’un « mépris total » des clients et chauffeurs victimes de cette attaque informatique. Et l’intéressé de rappeler qu’au moment des faits, « aucune mesure » n’avait été prise pour l’information de ces victimes ou pour leur prodiguer aide et soutien, ce qui « les a rendus vulnérables ».

Aux Pays-Bas, où ce sont 174 000 usagers et chauffeurs qui ont été touchés, la Dutch Data Protection Authority (DPA), autorité néerlandaise compétente pour la protection des données, explique que l’amende de 600 000 euros a été infligée à Uber car l’entreprise n’a pas pris la peine d’informer les autorités ni les victimes au cours des 72 heures suivant le vol des données personnelles.

Enfin, on rappellera qu’en septembre 2018, Uber a accepté de payer aux Etats-Unis une amende de 148 millions de dollars (environ 130 millions d’euros) pour les mêmes faits. Il s’agit ni plus ni moins que de l’amende la plus élevée jamais prononcée dans le cadre d’un accord relatif à la violation de données à caractère personnel.