L'Autorité de protection des données (AP) néerlandaise a publié une décision de sanction à l'encontre de MLU B.V. (comprenant le prononcé d'une amende de 100 000 000 €) pour des manquements en lien avec des transferts de données personnelles vers la Russie. Cette affaire débute par une enquête initiée fin 2023 par l'autorité néerlandaise, en collaboration avec ses homologues norvégienne et finlandaise, suite à des préoccupations concernant l'application de taxi Yango, exploitée par MLU B.V. pour des utilisateurs dans ces deux pays.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'encadrer les transferts de données hors de l'Espace économique européen (article 44 du RGPD) : L'entreprise, qui exploite l'application de taxi Yango en Norvège et en Finlande, a collecté et transféré un volume important de données personnelles de ses clients et chauffeurs sur des serveurs situés en Russie. Les données concernées incluaient des informations sensibles telles que des scans de permis de conduire, des adresses, des numéros de compte bancaire, des données de localisation précises, des photos, le contenu de conversations par messagerie et des numéros de sécurité sociale. L'autorité a conclu que l'entreprise n'avait pas mis en place les garanties appropriées pour protéger ces données, soulignant que le niveau de protection en Russie n'est pas équivalent à celui de l'Europe et que les autorités russes pourraient y avoir accès, ce qui engendre des risques pour la sécurité des personnes concernées.

En conséquence, l’autorité a imposé une amende de 100 000 000 € à MLU B.V., en tenant compte du chiffre d'affaires mondial de sa société mère, le groupe Yandex.

En outre, l’autorité a ordonné à l'entreprise de cesser immédiatement le transfert vers la Russie des données personnelles des utilisateurs de l'application Yango en Norvège et en Finlande.