L’autorité norvégienne de protection des données (Datatilsynet) a informé l’éditeur de l’application de taxis Yango que les transferts de données vers la Russie allaient être interdits.

L’application Yango est éditée par la société RideTech International (ex- Yandex Taxi), une filiale basée aux Pays-Bas du géant technologique russe Yandex.

Pour motiver sa décision, l’autorité explique que ses investigations ont montré, d’une part, que la société mère Yandex jouait un rôle dans les transferts de données vers la Russie effectués par l’application et, d’autre part, qu’une nouvelle loi censée entrer en vigueur le 1er septembre 2023 autorisera les autorités russes à accéder aux données des passagers pris en charge par l’application ainsi que leur lieu de collecte et leur lieu de dépôt.

Étant donné la date rapprochée de l’entrée en vigueur de cette nouvelle loi, l’autorité norvégienne estime que « les conditions de la procédure d’urgence prévue par le RGPD sont réunies »[1] et qu’une interdiction des transferts était nécessaire pour « protéger les intérêts des Norvégiens ».

« Nous estimons que l’accès illimité du service de sécurité nationale de la Fédération de Russie aux données à caractère personnel des passagers des taxis met gravement en péril les droits et libertés fondamentaux des personnes concernées en Norvège. C’est pourquoi la disposition relative à la procédure d’urgence est également nécessaire pour protéger les intérêts des personnes concernées. »

L’autorité finlandaise a pris une mesure similaire, puisque l’application est également proposée en Finlande.

Mise à jour du 31 août : l’interdiction a donc été levée, car la société a informé l’autorité que les utilisateurs norvégiens n’étaient pas concernés par cette nouvelle loi. L’autorité a toutefois annoncé qu’elle continuera d’enquêter, en collaboration avec l’autorité finlandaise, pour déterminer si « d’autres lois ou pratiques problématiques en Russie pourraient permettre aux autorités russes d’accéder à ces données », étant donné que les données des passagers sont « envoyées et stockées en Russie ».

Lire :

Notes et références

  1. ↑La procédure d’urgence permet notamment à l’autorité norvégienne de prendre prendre des mesures et de ne pas déléguer la procédure à l’autorité de protection des données néerlandaise, où se situe la siège de la société.

Sigles et acronymes

  • ↑DPC : Data Protection Commission
  • ↑RGPD : Règlement Général sur la Protection des Données
  • ↑CJUE : Cour de justice de l'Union européenne
  • ↑EDPB : European Data Protection Board