Autoriteit Persoonsgegevens (AP) наложи на Uber глоба от 290 млн. евро през август 2024 г. Санкцията е заради изпращане на данни на шофьори на американски сървъри без валидно споразумение за трансфер. Нито едно друго дело по GDPR не е довело до по-висока глоба за трансгранично предаване на данни. AP е разгледал над 21 400 жалби само през 2023 г., което го прави един от най-натоварените регулатори в Европа.
Какво установи AP в делото срещу Uber
Uber е събирал данни от шофьори в Нидерландия и Франция. Данните включват история на местоположението, документи за самоличност, заплащане, шофьорски досиета и данъчни файлове - всичко изпратено на американски сървъри. AP е приел, че методът на трансфер е невалиден.
Три констатации са в основата на решението:
- Слаб метод за трансфер: Uber е използвал Задължителни корпоративни правила (BCR). AP е установил, че те не покриват обема и чувствителността на данните на шофьорите.
- Липса на Оценка на въздействието върху трансфера (TIA): Uber не е доказал, че американското законодателство запазва договорените защитни мерки.
- Чувствителност чрез комбинация: Данните за местоположение, заплащане и оценки на представянето заедно дават подробна картина за всеки шофьор. AP е третирал тази комбинация като еквивалент на специална категория лични данни.
Делото срещу Uber поставя ясно правило: данните на служители и изпълнители, изпращани в САЩ, изискват същата TIA и допълнителни мерки като потребителските данни.
Приоритети на AP при правоприлагане за 2025 г.
Актуализирано за 2026 г.
AP е определил три области, на които ще обръща специално внимание в 2025 г.
Наблюдение на служители: Инструментите за дистанционно проследяване са основна мишена. Това включва журнали за производителност, заснемане на екрана, проследяване на натискането на клавиши и инструменти за дистанционно определяне на местоположение. Преди внедряването на подобен инструмент компаниите трябва да документират защо са отхвърлили по-малко натрапчиви алтернативи.
Трансгранични трансфери на данни: След решението по делото Uber AP проверява методите за трансфер. В обхвата са компании, разчитащи на услуги от САЩ, Азия или други страни без адекватно ниво на защита. Всяка компания, използваща американски софтуер за HR, управление на проекти или клиентски данни, трябва да разполага с актуална TIA.
Автоматизирани решения: Кредитно скориране с изкуствен интелект, филтри при наемане на работа и системи за оценка на представянето задействат задълженията по член 22. AP насочва вниманието към организации, вземащи автоматизирани решения без реален контрол от страна на човек. Обхванати са и работниците, и потребителите.
BSN: Защитен национален идентификатор
Burgerservicenummer (BSN) е 9-цифрен идентификационен номер, използван в Нидерландия. Той се валидира чрез метода Elfproef (проверка на единадесет). За проверката: умножете всяка цифра по тегло от 9 до -1, съберете резултатите и общата сума трябва да се дели без остатък на 11.
Законът за BSN (Wet algemene bepalingen burgerservicenummer) ограничава използването на BSN до конкретни правни контексти: данъчно облагане, здравеопазване, правителствени услуги и заплати от работодатели. Използването на BSN извън тези контексти задейства правоприлагането по Закона за BSN, а отгоре се добавя и отговорност по GDPR.
Защо общите инструменти пропускат BSN: Много инструменти за NLP не включват проверката Elfproef. Без нея всяка 9-цифрена последователност се маркира като възможен BSN. Това създава фалшиви аларми в финансови и административни документи. Освен това неправилно въведените BSN номера се пропускат - те не преминават проверката, но все пак изглеждат като валиден формат. Вижте нашето ръководство за разпознаване на национални данъчни идентификатори и лични данни в ЕС за пълно сравнение между европейските формати на идентификатори.
NER за нидерландски текст
Нидерландският (Nederlands) има особености, затрудняващи модели, обучени на английски.
Сложни думи: В нидерландски думите се сливат. Persoonsgegevens (лични данни) и Burgerservicenummer (граждански идентификационен номер) са всяка по една дума. Модели, разработени за английски, често ги разделят на грешно място, което нарушава разпознаването на обекти.
Окончания на имена: Наставките -je и -tje се появяват в собствени имена - Annetje, Hansje. Моделите за имена трябва да обработват и основната форма, и съкратената.
Формати на адреси: Видовете улици включват Straat, Laan, Weg, Plein и Gracht. Пощенските кодове се състоят от четири цифри и две букви (например: 1234 AB). Всеки код съответства на една улица, което разкрива повече информация от повечето европейски пощенски кодове.
Формат на IBAN: Нидерландските IBAN номера са 18 знака: NL + 2 контролни цифри + 4-буквен банков код + 10-цифрен номер на сметка. Страната има висок дял на плащания с карта. В резултат финансовите документи съдържат много IBAN номера. За методи за оценяване на достоверността при различни видове идентификатори вижте двоично разпознаване на лични данни и оценяване на достоверността.
Техническа проверка за съответствие с AP
За да отговарят на текущите стандарти на AP, системите за данни трябва:
- Разпознаване на BSN с Elfproef - съпоставянето на шаблони само по себе си не е достатъчно
- NER за нидерландски - модел като spaCy
nl_core_newsобработва сложни думи и съкратени имена - Разпознаване на IBAN - форматно-ориентирано, не общо
- Записи за подизпълнители за всички трансгранични трансфери
- TIA за американски доставчици - активен приоритет при одит на AP след решението по делото Uber
След делото Uber TIA за американски доставчици е основно изискване, а не препоръчителна практика. За пълен анализ на решението и последиците му за трансфера вижте глобата на AP на Uber и правоприлагането при трансгранични трансфери.