Wheely пожаловался голландским властям на «Яндекс.Такси» и Uber из-за передачи данных о поездках Дептрансу
Зарегистрированная в Голландии MLU Ltd делится c Департаментом транспорта Москвы чувствительной информацией о своих клиентах, считает сервис заказа премиальных автомобилей Wheely. Об этом компания сообщила в письме Управлению Нидерландов по защите данных (Dutch Data Protection Authority, DDPA). Копия письма есть в распоряжении Forbes. MLU — совместное предприятие «Яндекса» и Uber, которое образовалось после слияния сервисов в феврале 2018 года. После сделки MLU управляет сервисами «Яндекс.Такси», «Яндекс.Еда» и «Яндекс.Лавка», а также службой заказа такси Uber в России. По мнению Wheely, сотрудничество конкурентов с московскими властями противоречит регламенту Евросоюза о защите персональных данных (General Data Protection Regulation, GDPR), который действует с мая 2018 года.
В чем Wheely обвиняет «Яндекс» и Uber
MLU обрабатывает различные персональные данные своих пассажиров и водителей, в их числе и данные об их местоположении, указывает Wheely. Это конфиденциальная информация, подчеркивает сервис, ведь из данных о местоположении можно извлечь информацию о том, как часто человек посещает «врача, спортзал или кафе и в какое время возвращается домой с работы». Маршруты открывают интимные подробности жизни пассажиров, пишет Wheely: их родственные связи и политические, профессиональные, религиозные и сексуальные предпочтения. MLU «активно и открыто» передает эти конфиденциальные данные московскому Дептрансу, говорится в письме Wheely. Это, по мнению сервиса, противоречит GDPR, под действие которого MLU подпадает как поставщик и оператор услуг «Яндекс.Такси» и Uber. Wheely ссылается на положения GDPR о том, что для любой обработки персональных данных, в том числе передачи данных третьим лицам (например, Дептрансу), должны быть законные основания. В обратном случае обработка личных данных противоречит GDPR и, следовательно, является незаконной.
В Wheely считают, что у MLU нет законных оснований для передачи данных в Дептранс. Аргументация сервиса сводится к тому, что обязать компании делать это может только федеральный закон, а московских локальных указов или приказов, в том числе и авторства Дептранса, для этого недостаточно.
Почему «Яндекс» и Uber делятся данными
Дептранс запрашивает данные о геолокации такси с 2017 года на основании собственного приказа. При этом «Яндекс.Такси» делился с ведомством данными еще в 2014 году, указывает Wheely со ссылкой на материалы газеты «Коммерсантъ». Это подтверждает Forbes и источник в «Яндекс.Такси». Готовность сервиса делиться данными о местоположении с московскими властями привела к тому, что город становился «все более голодным до данных» и в 2017 году стал запрашивать их и у других платформ, пишет Wheely. Сейчас, помимо «Яндекс.Такси» и Uber, на которых приходится около 60% московского рынка, с московскими властями сотрудничают все игроки, кроме Wheely (менее 1% рынка), рассказывал Forbes руководитель столичного Дептранса Максим Ликсутов.
Какие могут быть последствия
Нарушение GDPR чревато существенными штрафами, отмечает основатель Wheely Антон Чиркунов в разговоре с Forbes. Суммы могут достигать €20 млн, или 4% глобальной выручки нарушителя за предыдущий год. Впрочем, «потолок» штрафов непосредственно от DDPA ниже — €1 млн, следует из исследования консультантов Dentons. Например, в марте ведомство оштрафовало на €525 000 Нидерландскую теннисную ассоциацию за продажу спонсорам персональных данных участников.
По оценкам Wheely, более 10 млн граждан России и более 500 000 европейцев воспользовались услугами сервисов MLU с мая 2018 года — даты, когда вступил в силу GDPR. Эти люди были затронуты нарушением, заключает Wheely. Сервис предупреждал MLU о нарушениях несколько раз и призывал их прекратить, говорится в письме, например, Антон Чиркунов писал об этом операционному директору «Яндекса» Грегу Абовскому. В переписке он предупреждал конкурента, что будет вынужден доложить о нарушениях голландскому регулятору, если MLU не изменит свою позицию. «Однако MLU не ответил должным образом», — пишет Wheely.
Почему жалуется и чего хочет Wheely
Если «вопиющее нарушение GDPR» со стороны MLU не остановить, то раскрытия данных будет требовать все большее количество городов как внутри, так и за пределами России, беспокоится сервис. Он призывает DDPA выступить против «этого опасного прецедента» и принять меры. Wheely также обратился в Офис уполномоченного по информации в Великобритании (ICO) и Европейский совет по защите данных (EDPB), следует из письма. Пока от них не было ответа, говорит представитель Wheely. В DDPA отказались комментировать жалобу Wheely: «Мы комментируем конкретные случаи, только когда провели расследование и обнаружили нарушение GDPR».
Требования GDPR экстерриториальны, и европейские компании обязаны им следовать, даже если ведут коммерческую деятельность через «дочки» за пределами ЕС, подчеркивает Чиркунов: «Сейчас по факту происходит то, что наши конкуренты пожертвовали конфиденциальностью пользователей, чтобы получить дополнительное конкурентное преимущество. То есть это как бы такая сделка, где ты передаешь данные, жертвуя приватностью пользователей, но тебя Департамент [транспорта Москвы] не трогает».
По словам Чиркунова, в 2017 году Дептранс потребовал делиться данными и от Wheely: «Когда мы смогли объяснить, что мы не такси, а сервис перевозок по заказу (у департамента нет на этом рынке полномочий, деятельность на федеральном уровне регулируется Ространснадзором), то тон существенно смягчился». Но в мае 2020 года давление резко усилилось, рассказывает Чиркунов: «Помимо мер, направленных на противодействие распространению COVID-19, которые мы беспрекословно соблюдали и продолжаем соблюдать, появилось требование предоставлять данные о геолокации автомобилей в Единую региональную навигационно-информационную систему (ЕРНИС)».
Без шашечек: как российский сервис частных водителей Wheely за четыре года вырос в сто раз
Что говорят в «Яндекс.Такси» и Дептрансе
В «Яндекс.Такси» отказались комментировать претензии Wheely, в Дептрансе не смогли оперативно ответить на запрос Forbes. Ранее в «Яндекс.Такси» указывали, что передают в ЕРНИС лишь идентификатор водителя в системе, номер автомобиля, статус (свободен или на заказе) и периодически координаты местоположения машины. «Вся эта информация передается только по зашифрованным каналам и не содержит персональных данных пассажиров», — сообщали в компании. «Никаких данных о том, кто едет, куда едет этот человек, как его зовут, каким он платежным средством пользуется, мы никогда не собирали, никогда не требовали. Всего, что нам нужно, — это местоположение машины и маршрут, которым эта машина передвигается», — вторил «Яндекс.Такси» Ликсутов. Тем не менее 7 октября стало известно, что Дептранс расширил требования к раскрытию данных о водителях такси: «Нам важно понимать, кто находится за рулем конкретного автомобиля в конкретный момент, кто везет пассажира». Личные данные клиентов такси ведомство все еще не интересуют.
Что происходит с Wheely
«Передвижения людей не случайны и их крайне сложно обезличить», — говорит Чиркунов. Wheely отказался делиться информацией с московскими властями, Дептранс же пожаловался на сервис в московскую прокуратуру, где признали позицию Wheely незаконной и обратились в суд. Он в свою очередь приостановил работу сервиса на 90 дней. Wheely тем не менее продолжил работу. Решение суда касается одного юрлица — ООО «Вили», объясняет Чиркунов. По его словам, это локальная «дочка» британской Wheely Technologies, которая была создана «для удобства приема платежей». Ее блокировка не сильно сказалась на работе Wheely, ведь приложение и платформа всегда управлялись из Лондона, куда сервис перенес штаб-квартиру.
Впрочем, конфликт с Дептрансом привел к блокировке московского центра разработки Wheely. Дептранс намерен заблокировать и сайт перевозчика, говорит Чиркунов. Для этого Департамент снова обратился в столичную прокуратуру, которая в свою очередь попросила Мещанский районный суд Москвы признать запрещенной информацию на сайтах wheely.com и wheely.ru и передать сведения в Роскомнадзор для блокировки, следует из копии иска, которая есть у Forbes. Wheely продолжила деятельность через Wheely Technologies, что противоречит судебному решению и незаконно само по себе — у британской компании нет аккредитованных представительств и филиалов на территории России, говорится в иске прокуратуры, который поступил в суд в середине сентября. «Уже состоялось первое заседание суда», — говорит Чиркунов, который считает, что для блокировки нет «какого-либо понятного законного обоснования».