Die Autoriteit Persoonsgegevens (AP) het Uber in Augustus 2024 'n boete van EUR 290 miljoen opgele. Die boete was omdat bestuurderdata na Amerikaanse bedieners gestuur is sonder 'n geldige oorplasingsooreenkomst. Geen GDPR-saak het nog 'n groter boete vir 'n grensoverschrydende oorplasing opgelewer nie. Die AP het ook meer as 21 400 klagtes in 2023 hanteer. Dit maak dit een van Europa se besigste datareguleerders.
Wat die AP in die Uber-saak Gevind Het
Uber het data van bestuurders in Nederland en Frankryk ingesamel. Die data het liggingsberekening, identiteitsdokumente, betalingsrekords, ryrekords en belassinglyers ingesluit. Dit alles is na Amerikaanse bedieners verskuif. Die AP het beslis dat die oorplasingsmetode nie geldig was nie.
Drie bevindinge het die besluit gedryf:
- Swak oorplasingsmetode: Uber het Bindende Korporatiewe Reels (BCRs) gebruik. Die AP het gevind dat hierdie die omvang of sensitiwiteit van die betrokke bestuurderdata nie gedek het nie.
- Geen Oorplasings-impakbeoordeling (TIA) nie: Uber kon nie aantoon dat die Amerikaanse reg die ooreengekome oorplasingsbeskermings in stand laat nie.
- Sensitiewe data deur kombinasie: Liggingsdata, betaling en prestasietelling saam gee 'n gedetailleerde prentjie van elke bestuurder. Die AP het hierdie mengsel as gelykstaande aan sensitiewe persoonlike data behandel.
Die Uber-saak stel 'n duidelike reel. Personeel- en kontrakteurdata wat na die VSA gestuur word, benodig dieselfde TIA en ekstra maatreels as verbruikersdata.
AP-handhawingsfokusse vir 2025
Opgedateer vir 2026
Die AP het drie areas genoem wat dit noukeurig dophou in 2025.
Personeelmonitering: Afstandwerkopsporing is die grootste teiken. Dit sluit in produktiwiteitslogboeke, skermprent, toetsbordopname en afstandliggingsinstrumente. Voor die ontplooiing van so 'n instrument moet maatskappye opteken waarom hulle minder indringende opsies verwerp het.
Grensoverschrydende dataoorplasings: Na die Uber-uitspraak kontroleer die AP oorplasingsmetodes. Maatskappye wat staatmaak op dienste in die VSA, Asie of ander nie-voldoende lande, val binne hierdie omvang. Enige maatskappy wat Amerikaanse sagteware vir HR, projekwerk of klientedata gebruik, moet 'n huidige TIA in leer he.
Geoutomatiseerde besluite: KI-kreditering, aanstelfilters en prestasiestelsels aktiveer Artikel 22-pligte. Die AP teiken organisasies wat geoutomatiseerde besluite neem sonder 'n werklike menslike hersiening. Werkers en verbruikers moet albei gedek word.
Die BSN: 'n Beskermde Nasionale Identifiseerder
Die Burgerservicenummer (BSN) is 'n 9-syfer-ID-nommer wat in Nederland gebruik word. Dit word gevalideer met die Elfproef (elftal-toets). Om die toets uit te voer: vermenigvuldig elke syfer met 'n gewig van 9 af tot -1, tel die resultate op, en die totaal moet deur 11 deelbaar wees.
Die BSN-wet (Wet algemene bepalingen burgerservicenummer) beperk BSN-gebruik tot spesifieke wettige kontekste. Dit is: belasting, gesondheidsorg, owerheid en werkgewersalaris. Die gebruik van 'n BSN buite hierdie kontekste aktiveer BSN-wet-handhawing. GDPR-aanspreeklikheid is bykomend van toepassing.
Waarom generiese gereedskap BSN's mis: Baie NLP-instrumente sluit nie die Elfproef-toets in nie. Sonder dit word enige 9-syfer-string as 'n moontlike BSN gemerk. Dit skep valse alarme in finansiele en administratiewe dokumente. Foutief-getypte BSN's word ook gemis. Hulle faal die toets maar lyk steeds soos 'n geldige patroon. Sien ons gids vir EU nasionale belasting-ID en PII-opsporing vir 'n volledige vergelyking oor Europese ID-formate.
NER vir Nederlandse Teks
Nederlands (Nederlands) het kenmerke wat modelle wat op Engels opgelei is, struikel laat.
Samegestelde woorde: Nederlands verbind woorde. Persoonsgegevens (persoonlike data) en Burgerservicenummer (burgerskaps-ID-nommer) is elk een enkele woord. Modelle vir Engels verdeel hulle dikwels op die verkeerde punt. Dit breek entiteitsopsporing.
Naamagtervoegsels: Die agtervoegsels -je en -tje kom in voorname voor - Annetje, Hansje. Naammodelle moet beide die basisvorm en die kortvorm hanteer.
Adresformate: Straattipes sluit in Straat, Laan, Weg, Plein en Gracht. Poskodes gebruik vier syfers plus twee letters (byvoorbeeld: 1234 AB). Elke kode wys na 'n enkele straat, sodat dit meer onthul as die meeste Europese poskodes.
IBAN-formaat: Nederlandse IBAN's is 18 karakters: NL + 2 toetssyfers + 4-letter bankkode + 10-syfer-rekeningnommer. Die land het hoe kaartbetalingsgebruik. Finansiele dokumente dra gevolglik baie IBAN's. Vir vertrouensskoringmetodes oor ID-tipes, sien binere PII-opsporing en vertrouensskorering.
Tegniese Kontrolelys vir AP-nakoming
Om aan die AP se huidige standaarde te voldoen, benodig datastelsels:
- BSN-opsporing met Elfproef - patroonmassering alleen is nie genoeg nie
- Nederlandse NER - 'n model soos spaCy
nl_core_newshanteer samegestelde woorde en kortnaams - IBAN-opsporing - formaatbewus, nie generies nie
- Subverwerkerrekords vir alle grensoverschrydende oorplasings
- TIA's vir Amerikaanse verskaffers - 'n lewendige AP-ouditprioriteit na die Uber-uitspraak
Na Uber is 'n TIA vir Amerikaanse verskaffers 'n basisvereiste, nie 'n beste praktyk nie. Vir 'n volledige ontleding van die uitspraak en sy oorplasingsimplikasies, sien AP Uber-boete en grensoverschrydende oorplasingshandhawing.