Guidare un taxi a Helsinki o Oslo, fare salire un passeggero, registrare la corsa sull’app: un gesto ordinario, ripetuto migliaia di volte al giorno, che per anni ha alimentato un flusso di dati personali diretto verso server situati in Russia. Il 1° aprile 2026 l’Autorità olandese per la protezione dei dati, l’Autoriteit Persoonsgegevens, ha formalizzato la propria risposta con una sanzione amministrativa da 100 milioni di euro a carico di MLU B.V., la società con sede ad Amsterdam che gestisce l’app di ride-hailing Yango in Europa ed è parte del gruppo tecnologico russo Yandex.
Un’indagine coordinata su tre Paesi
L’istruttoria era partita alla fine del 2023, su impulso dei garanti norvegese e finlandese, che avevano avanzato dubbi fondati sui flussi di dati generati dall’applicazione nei rispettivi mercati. L’AP olandese aveva assunto il ruolo di autorità capofila in virtù del meccanismo dello Sportello Unico previsto dal GDPR: poiché MLU ha sede nei Paesi Bassi, spetta al garante olandese coordinare i procedimenti transfrontalieri che la riguardano. Il quadro emerso dall’indagine è risultato netto. MLU aveva trasferito verso due entità con base in Russia – Yandex.Taxi LLC, che operava come titolare congiunto del trattamento, e Yandex LLC, che agiva da sub-responsabile – una quantità considerevole di informazioni personali riguardanti sia i clienti sia i conducenti registrati sulla piattaforma, senza adottare le garanzie richieste dalla normativa europea.
Tra i dati coinvolti figuravano scansioni di patenti di guida, indirizzi di domicilio, numeri di conto corrente, contenuti di conversazioni in chat, immagini, codici fiscali e dati di geolocalizzazione precisa.
La violazione è stata datata formalmente al 23 maggio 2022. Le autorità hanno ritenuto che fosse ancora attiva al momento dell’adozione del provvedimento, sebbene MLU avesse già avviato una serie di modifiche strutturali: dal 19 marzo 2025 era stato dismesso il sistema di autenticazione Yandex ID, che collegava i profili degli utenti ad altri servizi del gruppo russo, e dal luglio dello stesso anno tutti i flussi di dati erano stati instradati esclusivamente su server europei. Ridetech, la società che aveva originariamente avviato il trattamento e che aveva trasferito i dati verso le entità russe sin dall’inizio della violazione, era stata formalmente sciolta il 24 ottobre 2025, con MLU che ne aveva assunto tutti i diritti e gli obblighi – ragione per cui la multa è stata intestata a quest’ultima anziché all’entità ormai disciolta.
Il nodo della protezione equivalente e il precedente geopolitico
Il GDPR autorizza il trasferimento di dati personali al di fuori dello Spazio Economico Europeo soltanto in presenza di condizioni specifiche: una decisione di adeguatezza adottata dalla Commissione europea nei confronti del Paese destinatario, oppure l’adozione di garanzie contrattuali o tecniche certificate che assicurino un livello di protezione sostanzialmente equivalente a quello europeo. La Russia non soddisfa nessuno dei due requisiti. Il Paese non dispone di una decisione di adeguatezza e, secondo l’AP, è privo di un’autorità di controllo sulla privacy realmente indipendente dal potere statale. La presidente dell’AP, Aleid Wolfsen, ha sottolineato che questa assenza strutturale rende concretamente possibile un accesso delle autorità governative russe ai dati trasferiti – un rischio che il garante norvegese ha valutato con particolare attenzione anche in ragione della contiguità geografica tra Norvegia e Russia.
MLU ha contestato le conclusioni dell’indagine, sostenendo che i dati erano conservati esclusivamente all’interno dell’UE in forma pseudonimizzata e cifrata, e che pertanto erano tecnicamente inaccessibili a terzi. La società ha sei settimane di tempo dalla data del provvedimento per presentare formale ricorso. L’importo della sanzione – tra i più elevati mai emessi da un’autorità di controllo olandese – è stato calcolato sulla base del fatturato globale del gruppo Yandex, che nel 2024 ha superato i 12 miliardi di euro, in linea con il criterio previsto dal GDPR per commisuare le pene alla dimensione economica reale del gruppo di appartenenza. Al provvedimento pecuniario si affianca l’ordine di cessare immediatamente qualsiasi ulteriore trasferimento di dati di utenti norvegesi e finlandesi verso destinatari localizzati in Russia. Il caso è considerato il primo provvedimento coordinato a livello europeo con focus specifico sui flussi di dati verso la Russia e si inserisce in una linea di enforcement che poche settimane prima aveva portato all’irrogazione di una multa da 530 milioni di euro a TikTok per i trasferimenti verso la Cina, consolidando un orientamento dei regolatori europei che guarda ai Paesi terzi privi di adeguatezza non come a una questione tecnica di compliance, ma come a una variabile geopolitica da presidiare attivamente.
