A Autoridade de Proteção de Dados da Holanda (Autoriteit Persoonsgegevens — AP) aplicou uma multa de 290 milhões de euros à Uber por transferir dados pessoais de motoristas europeus para os Estados Unidos sem as salvaguardas legais exigidas pelo Regulamento Geral de Proteção de Dados (GDPR). A penalidade é uma das maiores já aplicadas sob o GDPR e reforça a posição europeia de que regras de transferência internacional de dados não são formalismos — são linhas vermelhas com consequências financeiras concretas.
Para organizações brasileiras com operações ou parceiros na Europa, o caso é um referencial direto: o Brasil tem seu próprio regime de proteção de dados, a LGPD, com estrutura análoga ao GDPR em vários pontos — incluindo restrições a transferências internacionais.
O que a Uber fez de errado segundo a AP
A investigação identificou que a Uber coletava dados sensíveis de motoristas europeus — incluindo documentos de identidade, localização em tempo real, dados bancários, antecedentes criminais e informações de saúde em alguns casos — e os transferia para servidores nos Estados Unidos sem mecanismo legal adequado.
Entre 2021 e 2023, a Uber usava como base legal as antigas cláusulas contratuais padrão (SCCs) herdadas do regime anterior ao Schrems II. Após o Tribunal de Justiça da União Europeia invalidar o Privacy Shield em 2020, as empresas passaram a depender de SCCs revisadas ou outros mecanismos como Binding Corporate Rules. A AP concluiu que a Uber não implementou corretamente as novas SCCs e continuou transferindo dados sem as salvaguardas técnicas exigidas — como criptografia de ponta a ponta e controles de acesso compatíveis com os padrões europeus.
O agravante: a Uber tinha conhecimento das exigências e não tomou as medidas corretivas no prazo estabelecido após notificações anteriores da autoridade reguladora.
Como a multa foi calculada
O GDPR permite multas de até 4% do faturamento anual global da organização infratora. No caso da Uber, os 290 milhões de euros representam aproximadamente 2,4% do faturamento global — abaixo do teto legal, mas acima de qualquer outra multa aplicada à empresa em jurisdição única.
Os critérios que elevaram o valor incluem:
- Duração da infração — mais de dois anos após alertas regulatórios
- Natureza dos dados transferidos — categorias especiais sob o artigo 9 do GDPR (saúde, origem étnica, antecedentes criminais)
- Número de titulares afetados — mais de 170.000 motoristas europeus
- Ausência de cooperação proativa com a autoridade reguladora durante a investigação
Implicações para empresas brasileiras
A LGPD brasileira, em vigor desde 2020, contém disposições equivalentes para transferência internacional de dados no artigo 33. A Autoridade Nacional de Proteção de Dados (ANPD) publicou em 2023 e atualizou em 2025 as regras para transferências internacionais, alinhando-se progressivamente ao padrão europeu.
Organizações brasileiras que:
- Usam provedores de nuvem com servidores fora do Brasil (AWS, Azure, Google Cloud em regiões não brasileiras)
- Transferem dados de clientes ou funcionários para matrizes no exterior
- Usam ferramentas SaaS com processamento de dados em jurisdições estrangeiras
...precisam validar se têm base legal adequada para cada fluxo de transferência. A multa da Uber demonstra que "usamos um fornecedor estabelecido" não é argumento suficiente — a responsabilidade pela adequação do mecanismo de transferência é do controlador de dados, não do fornecedor.
Profissionais especializados em privacidade e proteção de dados são os responsáveis por mapear esses fluxos e garantir conformidade. O curso de Privacidade, Proteção de Dados e LGPD da IBSEC forma analistas para exatamente esse trabalho.
O padrão de enforcement europeu em 2026
A multa da Uber não é um caso isolado. Em 2026, o GDPR entrou em seu nono ano de vigor e as autoridades europeias demonstram capacidade crescente de investigação e enforcement. Meta foi multada em 1,2 bilhão de euros em 2023. LinkedIn, TikTok e diversas empresas menores receberam penalidades significativas nos anos seguintes.
O padrão que emerge: autoridades europeias estão priorizando casos com transferências internacionais ilegais, uso indevido de dados de categorias especiais e falta de transparência com titulares. Os três elementos estavam presentes no caso Uber.
Para organizações com exposição ao mercado europeu, o custo de conformidade é mensurável e planejável. O custo de uma multa GDPR na faixa de centenas de milhões de euros não é. A equação é simples — mas exige profissionais que entendam tanto o aspecto técnico quanto o jurídico-regulatório da proteção de dados.
O papel da cibersegurança na conformidade com GDPR e LGPD
Conformidade com leis de proteção de dados não é apenas uma questão jurídica. O GDPR exige "medidas técnicas e organizacionais adequadas" para proteger os dados — o que inclui controles de segurança concretos: criptografia, controle de acesso, monitoramento de acessos e capacidade de detecção de violações.
A interface entre segurança da informação e privacidade é onde profissionais bem formados fazem diferença real. O artigo sobre defensibilidade de dados no blog IBSEC explora como construir essa camada técnica de forma auditável.
Desenvolva competências em privacidade e proteção de dados
A IBSEC forma profissionais para atuar na intersecção entre segurança, privacidade e conformidade regulatória:
- Privacidade, Proteção de Dados e LGPD — mapeamento de dados, base legal, transferências internacionais e resposta a incidentes sob a LGPD
- Gestão de Identidades Digitais Seguras na Prática — controle de acesso a dados pessoais em ambientes corporativos
- Defesa Cibernética — Analista SOC na Prática — detecção de vazamentos e resposta a incidentes com impacto em dados pessoais
Ou comece pela Certificação IBSEC gratuita — sem custo, em português.
Capacite-se com quem é referência em cibersegurança no Brasil. Domine as práticas que o mercado exige e conquiste novas oportunidades.
