Reino Unido y Holanda multan a Uber con un millón de euros por el robo de datos a tres millones de sus clientes

La primera de las sanciones, por valor de 433.818 euros, ha sido impuesta por la Oficina del Comisionado de Información (ICO, por sus siglas en inglés) del Reino Unido por «fallar en la protección de la información personal de sus clientes durante un ciberataque».

El organismo, dependiente del Parlamento británico y que vela por los derechos de información y privacidad de los ciudadanos, la sanción impuesta a la compañía de taxis porque «unos fallos de seguridad evitables» provocaron que se filtraran los datos de alrededor de 2,7 millones de clientes británicos.

El director de investigaciones de la ICO, Steve Eckersley, ha declarado que fue «no solo un serio fallo de seguridad por parte de Uber, sino también un completo desprecio por los clientes y conductores cuya información personal fue robada». «En el momento no se tomaron medidas para informar a las personas afectadas por la infracción u ofrecer ayuda y apoyo, lo que les dejo en una situación de vulnerabilidad», ha agregado.

La segunda sanción, por valor de 600.000 euros, ha sido fijada por la Autoridad de Protección de Datos de Holanda (AP) por ocultar una violación de los datos de unos 174.000 usuarios producida tras un ciberataque en 2016.

En un comunicado, la AP ha explicado que Uber optó por no hacer público lo ocurrido y pagar 100.000 dólares (88.312 euros) a los piratas informáticos «en silencio y ocultar» el hackeo sufrido, el cual se conoció un año más tarde por una filtración a la prensa. El ataque afectó a 174.000 usuarios holandeses de la compañía.

El ataque informático fue perpetrado en noviembre de 2016 por dos individuos ajenos a la empresa, que se hicieron con los datos de 57 millones de clientes y conductores de todo el mundo, incluyendo sus nombres, números de teléfono y correos electrónicos. Además, obtuvieron información adicional de los conductores como detalles de los viajes que habían realizado y pagos que habían recibido.

El Reglamento General de Protección de Datos, impulsado por la Unión Europea y que entró en vigor en 2018, contempla multar a las compañías que oculten las filtraciones de datos y no informen de ellas en menos de 72 horas.