Нидерландският AP и глобата на Uber
През август 2024 г. нидерландският AP глоби Uber с 290 милиона евро. Uber изпращаше данни на шофьори от ЕС към американски сървъри без правно основание. Тези данни включваха лицензи за таксита, проверки за криминално минало, медицински досиета и дневници на пътувания.
Uber е прехвърлял данните след като Schrems II отмени щита за поверителност между ЕС и САЩ през юли 2020 г. Продължил е тези трансфери в продължение на две години. Без стандартни договорни клаузи. Без никакъв инструмент по член 46.
Тази глоба е най-голямата в ЕС за нарушение на трансфер на данни. Класира се на трето място сред всички глоби по GDPR. Нарушенията при трансфери вече носят огромни разходи. Не само пробивите.
Вижте нашето ръководство за съответствие с GDPR за бърз преглед.
Приоритетни области на прилагане от AP
Нидерландският AP получи над 21 400 жалби през 2023 г. Той се фокусира върху три области.
Приоритет 1 -- Мониторинг на работници (43% от случаите): Много нидерландски фирми са получили глоби от AP за наблюдение на своя персонал. Скрити камери, масови проверки на електронна поща и GPS проследяване без уведомяване задействат действие. Нидерландското трудово право добавя допълнителни правила над GDPR.
Приоритет 2 -- Трансгранични трансфери (31% от случаите): След глобата на Uber и съвместната проверка с ирландската DPC за Cloudflare (2023 г.), AP засили надзора на трансферите. Технологичният сектор в Амстердам е изложен на висок риск тук. Облачните фирми, финтех компаниите и бързоразрастващите се стартъпи са всички в обхвата.
Приоритет 3 -- Маркетинг и профилиране (26% от случаите): Това обхваща съгласие за бисквитки, насочена реклама и директен маркетинг. AP приема строга позиция относно "легитимния интерес". Той изисква писмени тестове с ясни доказателства.
Правила за трансфер след Uber
Оценки на въздействието на трансфера (ОВТ): EDBP изисква ОВТ за всеки трансфер към трета страна. ОВТ трябва да покаже, че дестинацията предоставя равна защита на правото на ЕС. AP казва, че ОВТ трябва да отговори на четири въпроса:
- Какви са законите за достъп в страната дестинация?
- До каква степен могат да достигат разузнавателните агенции?
- Какъв е опитът с правителствените заявки до вносителя на данни?
- Какви правни средства за защита могат да използват субектите на данни?
Стандартни договорни клаузи -- недостатъчни сами по себе си: СДК сами по себе си не удовлетворяват член 46. Ако ОВТ покаже риск от правителствен достъп, се изискват допълнителни гаранции.
Допълнителни технически мерки, приемани от AP:
- Криптиране, при което вносителят няма достъп до ключовете за декриптиране
- Премахване на преки идентификатори преди трансфера, така че вносителят не може да свърже данните с конкретно лице
- Намаляване на данните преди трансфера, намалявайки полетата, от които вносителят не се нуждае
Офлайн приложението за настолен компютър извършва цялата работа на вашето устройство. То не изпраща данни навън. Това премахва проблема с трансфера за тази дейност. Вижте нашия преглед на сигурността и съответствието.
Данни на служители и нидерландско трудово право
43-процентният фокус на AP върху мониторинга на работниците показва как GDPR и нидерландското трудово право се припокриват.
Три правила се прилагат за организации в Нидерландия:
Одобрение от работнически съвет: Компания с работнически съвет трябва да получи неговото одобрение преди внедряване на каквито и да е инструменти за мониторинг. Това обхваща AI инструменти, проверки на електронна поща и системи за присъствие.
Годност за целта: Мониторингът трябва да съответства на декларираната цел. Скритият мониторинг не е разрешен. Откритият мониторинг трябва да бъде най-малко натрапчивият вариант.
Ограничение на целта: Данните за персонала, събрани за една цел, не могат да се използват за друга. Необходимо е ново правно основание.
Тези правила изискват три записа: одобрението на съвета, проверката на целта и контролите. Нашият контролен списък за съответствие обхваща и трите.
Разпознаване на лични данни в Нидерландия
Инструментите за лични данни в Нидерландия трябва да обработват местни формати на идентификатори. Стандартните глобални инструменти често ги пропускат:
- BSN (Burger Service Nummer): 9-цифрен нидерландски национален идентификатор -- изисква валидиране на контролна сума
- IBAN (NL префикс): Нидерландски IBAN със собствена логика за валидиране
- Пощенски код (postcode): Форматът е 4 цифри + интервал + 2 букви
- DigiD: Правителствен код за цифрова идентификация
- Здравни номера: BGZ и EP формати за пациентски записи
Общ инструмент може да улови IBAN, но да пропусне контролната сума на BSN или формата на пощенския код. Тествайте разпознаването на BSN преди да обработвате данни от национална идентификация. Не приемайте покритието за даденост.
Стъпки за организации в Нидерландия
1. Одит на трансфери: Перечислете всички потоци от данни към трети страни. Прегледайте съществуващите СДК. Проведете ОВТ за ключови потоци. Документирайте допълнителни технически мерки там, където ОВТ установява риск.
2. Преглед на мониторинга на работниците: Перечислете всички инструменти за мониторинг, включително AI. Проверете записите за одобрение от работническия съвет. Потвърдете, че проверките на целта съществуват в писмена форма.
3. Проверка за покритие на лични данни: Тествайте разпознаването на BSN, пощенски код и IBAN в инструментите за лични данни. Тествайте точността върху документи на нидерландски език.
4. Излагане на технологичния сектор: Стартъпите трябва да документират избори, намаляващи риска от трансфер -- облак в ЕС регион и опции за локална обработка. Доставчиците на облак с конфигурации ЕС-САЩ трябва да документират инструментите си за трансфер и подхода им към ОВТ.
anonym.legal използва центрове за данни на Hetzner в ЕС с дизайн с нулево знание. Сървърът никога не вижда вашето съдържание в обикновен текст. Пълен компромис на сървъра дава само AES-256-GCM шифротекст. Нуждаете се от само локална обработка? Приложението за настолен компютър работи изцяло на вашето устройство без външни връзки.
Източници
- Нидерландски AP: Официален сайт на Autoriteit Persoonsgegevens -- VERIFIED-EXTERNAL
- Нидерландски AP: Решение за прилагане срещу Uber (август 2024) -- VERIFIED-EXTERNAL
- EDPB: Препоръки 01/2020 относно допълнителни мерки -- VERIFIED-EXTERNAL