AP الهولندية وغرامة Uber
في أغسطس 2024، غرّمت AP الهولندية شركة Uber 290 مليون يورو. أرسلت Uber بيانات السائقين الأوروبيين إلى خوادم أمريكية دون أساس قانوني. شملت تلك البيانات تراخيص سيارات الأجرة وسجلات جنائية وسجلات طبية وسجلات التنقل.
نقلت Uber البيانات بعد أن ألغت محكمة العدل الأوروبية اتفاقية Privacy Shield الأوروبية-الأمريكية في يوليو 2020. وأبقت على تلك التحويلات لمدة عامين. بلا بنود تعاقدية نموذجية SCCs. بلا أي أداة من أدوات المادة 46.
هذه الغرامة هي الأكبر في الاتحاد الأوروبي على خرق نقل البيانات. وتحتل المرتبة الثالثة بين أكبر غرامات GDPR على الإطلاق. إخفاقات النقل باتت تترتب عليها تكاليف ضخمة. ليس الاختراقات وحدها.
اطّلع على دليل الامتثال GDPR لدينا للحصول على نظرة عامة سريعة.
أولويات تنفيذ AP الهولندية
tلقّت AP الهولندية أكثر من 21,400 شكوى في 2023. تركّز على ثلاثة مجالات.
الأولوية الأولى — مراقبة العاملين (43% من القضايا): واجهت شركات هولندية عديدة غرامات AP بسبب مراقبة عاملين. الكاميرات الخفية وفحوصات البريد الإلكتروني الجماعية والتتبع بالـ GPS دون إشعار تستدعي الإجراءات. يُضيف قانون العمل الهولندي قواعد إضافية فوق GDPR.
الأولوية الثانية — التحويلات العابرة للحدود (31% من القضايا): بعد غرامة Uber وتحقيق مشترك مع DPC الإيرلندية بشأن Cloudflare (2023)، شدّدت AP رقابتها على التحويلات. قطاع التكنولوجيا في أمستردام يواجه مخاطر عالية هنا. شركات الحوسبة السحابية والتكنولوجيا المالية والشركات الناشئة السريعة النمو كلها في النطاق.
الأولوية الثالثة — التسويق وإنشاء الملفات الشخصية (26% من القضايا): يشمل ذلك موافقة ملفات تعريف الارتباط والإعلانات المستهدفة والتسويق المباشر. تتبنى AP منظورًا صارمًا تجاه "المصلحة المشروعة"، وتشترط اختبارات مكتوبة مع إثبات واضح.
قواعد التحويل بعد غرامة Uber
تقييمات التأثير على التحويل (TIAs): يشترط EDPB إجراء TIA لكل تحويل إلى دولة ثالثة. يجب أن تُثبت TIA أن الوجهة توفّر حماية معادلة لقانون الاتحاد الأوروبي. تقول AP إن TIA يجب أن تُجيب عن أربعة أسئلة:
- ما قوانين الوصول السارية في الدولة المستقبِلة؟
- ما مدى وصول أجهزة الاستخبارات؟
- ما سجل طلبات الحكومة الموجهة إلى مستورد البيانات؟
- ما سبل الانتصاف القانونية المتاحة للأشخاص المعنيين؟
البنود التعاقدية النموذجية — لا تكفي وحدها: لا تُوفي SCCs وحدها متطلبات المادة 46. إن كشف TIA عن مخاطر وصول حكومي، وجبت ضمانات إضافية.
التدابير التقنية الإضافية التي تقبلها AP:
- تشفير لا يملك المستورد معه مفاتيح فك التشفير
- حذف المعرّفات المباشرة قبل التحويل حتى لا يتمكن المستورد من ربط البيانات بشخص
- تقليص البيانات قبل التحويل، بحذف الحقول التي لا يحتاجها المستورد
يُشغّل تطبيق سطح المكتب الغير متصل بالإنترنت جميع العمليات على جهازك. لا يُرسل أي بيانات خارجه. هذا يُلغي مسألة التحويل لتلك الأنشطة. اطّلع على نظرة عامة على الأمان والامتثال.
بيانات الموظفين وقانون العمل الهولندي
تُظهر نسبة 43% التي تُمثّلها مراقبة العاملين مدى تداخل GDPR وقانون العمل الهولندي.
تنطبق ثلاثة قواعد على المنظمات القائمة في هولندا:
موافقة مجلس العمال: يجب على الشركة التي تمتلك مجلس عمال الحصول على موافقته قبل طرح أي أداة مراقبة. يشمل ذلك أدوات الذكاء الاصطناعي وفحوصات البريد الإلكتروني وأنظمة الحضور.
ملاءمة الغرض: يجب أن تتناسب المراقبة مع هدفها المُعلن. المراقبة الخفية غير مسموح بها. المراقبة العلنية يجب أن تكون الخيار الأقل تدخلًا.
تحديد الغرض: لا يجوز استخدام بيانات الموارد البشرية المُجمَّعة لغرض ما في غرض آخر. يُشترط أساس قانوني جديد.
تستلزم هذه القواعد ثلاثة سجلات: موافقة المجلس، وفحص الغرض، والضوابط. يغطّي قائمة المراجعة للامتثال لدينا الثلاثة.
كشف البيانات الشخصية في هولندا
يجب أن تتعامل أدوات البيانات الشخصية في هولندا مع صيغ المعرّفات المحلية. غالبًا ما تُفوّتها الأدوات العالمية القياسية:
- BSN (رقم خدمة المواطن): رقم الهوية الوطني الهولندي المؤلف من 9 أرقام — يستلزم التحقق من رقم الاختبار
- IBAN (بادئة NL): الرقم الدولي للحساب البنكي الهولندي بمنطقه التحقق الخاص
- الرمز البريدي (postcode): صيغته 4 أرقام + مسافة + حرفان
- DigiD: رمز هوية الحكومة الرقمية
- أرقام الرعاية الصحية: صيغ BGZ وEP لسجلات المرضى
قد تكتشف أداة عامة الـ IBAN لكنها تُفوّت رقم اختبار BSN أو صيغة الرمز البريدي. اختبر كشف BSN قبل معالجة بيانات الهوية الوطنية. لا تفترض التغطية.
خطوات للمنظمات الهولندية
1. تدقيق التحويلات: أدرج جميع تدفقات البيانات إلى دول ثالثة. راجع SCCs المعمول بها. أجرِ TIAs للتدفقات الرئيسية. سجّل التدابير التقنية الإضافية حيثما تُشير TIA إلى مخاطر.
2. مراجعة مراقبة العاملين: أدرج جميع أدوات المراقبة بما فيها الذكاء الاصطناعي. تحقق من سجلات موافقة مجلس العمال. تأكد من وجود فحوصات الغرض مكتوبةً.
3. فحص تغطية البيانات الشخصية: اختبر كشف BSN والرمز البريدي والـ IBAN في أدوات البيانات الشخصية لديك. اختبر الدقة على وثائق باللغة الهولندية.
4. التعرض في قطاع التكنولوجيا: يجب على الشركات الناشئة توثيق الخيارات التي تُقلّص مخاطر التحويل — الحوسبة السحابية ضمن الاتحاد الأوروبي وخيارات المعالجة المحلية. يجب على مزودي الخدمات السحابية ذوي الإعدادات الأوروبية-الأمريكية توثيق أدوات التحويل ونهج TIA.
تستخدم anonym.legal مراكز بيانات Hetzner الأوروبية مع تصميم انعدام المعرفة. لا يرى الخادم محتواك بنص صريح أبدًا. اختراق كامل للخادم لا يُنتج سوى نص مشفر بمعيار AES-256-GCM. هل تحتاج معالجة محلية فقط؟ يعمل تطبيق سطح المكتب بالكامل على جهازك دون اتصالات خارجية.