Hollandi järelevalveasutus leidis, et Uber rikkus isikuandmete kaitse üldmääruse (IKÜM) artiklit 44, mis nõuab, et vastutaval töötlejal on õiguslik alus isikuandmetega edastamiseks kolmandasse riiki. Praegu on puudujääk kõrvaldatud ja Uber saab USA-sse edastada isikuandmeid läbi andmekaitseraamistiku (Data Privacy Framework), mis on loodud hõlbustamaks Atlandi-ülest kaubandust, pakkudes usaldusväärseid mehhanisme isikuandmete edastamiseks Ameerika Ühendriikidesse Euroopa Majanduspiirkonnast.
Rikkumise ajal ei olnud USA ettevõtetel võimalik tugineda ka kaitse piisavuse otsusele (IKÜM art 45), sest Euroopa Liidu ja USA vaheline adekvaatsusotsus (Privacy Shield) tühistati 2020. aastal Euroopa Kohtu otsusega (C-311/18).
Uberi andmesubjektide, kelleks oli selles juhtumis enamasti taksojuhid, isikuandmetega tutvumise taotluste käsitlemiseks pidi Uber BV ehk Uberi tütarettevõte Hollandis saatma Euroopast USA serveritesse isikuandmeid. Hollandi järelevalveasutus leidis, et Uber kogus muu hulgas Euroopast pärit juhtide eriliigilisi isikuandmeid ja säilitas neid USA serverites. Uber töötles kontoandmeid, taksolubasid, asukohaandmeid, fotosid, makseandmeid, isikut tõendavaid dokumente ning mõnel juhul isegi juhtide kriminaal- ja terviseandmeid. Uberil ei olnud tollel ajal ei kontsernisiseseid eeskirju ega sertifitseerimismehhanisme.
Holland leidis, et Uber käitus hooletusega ehk ei saanud olla mitteteadlik isikuandmete kaitse üldmääruse (IKÜM) nõuetest, mis käsitlevad isikuandmete edastamist kolmandatesse riikidesse. Hollandi järelevalveasutus leidis, et rikkumine oli tõsise raskusega võttes arvesse andmete laadi ning rikkumise kestvust, milleks oli 2 aastat ja 3 kuud.
IKÜM artikkel 44 rikkumise eest saab vastavalt IKÜM artiklile 83 lõige 5 punkt c trahvida kuni 4% vastutava töötleja ülemaailmsest aastaset kogukäibest. Trahvi arvutades võttis Hollandi järelevalveasutus arvesse Uberi ülemaailmset aastast kogukäivet – mis on 34 miljardit eurot, sellepärast on trahv käesolevas asjas nii suur.
See on kolmas trahviotsus mida Hollandi järelevalveasutus on Uberi vastu teinud, viimatine trahv oli 2023 detsembris 10 miljonit eurot puuduliku privaatsuspoliitika ja juurdepääsutaotluse protsessi kohta.