Ирландска DPC: 80% от мегаглобите по GDPR в ЕС

Защо Ирландия води прилагането на закона в ЕС

Ирландската Комисия за защита на данните (DPC) е водещият орган за повечето големи технологични компании в ЕС. Това не е случайно.

Ниската данъчна ставка на Ирландия привлече Apple, Google, Meta, LinkedIn и TikTok. Те всички установиха там основните си европейски офиси.

Мember 60 от GDPR прави DPC водещ орган за тези фирми. От това правило следват три неща.

Първо, жалба в Германия срещу Facebook отива при ирландската DPC, а не при германската BfDI. Второ, DPC работи с други органи на ЕС по трансгранични случаи. Трето, решение на DPC срещу Meta се прилага в целия ЕС.

Резултатът е ясен. DPC е издала повече стойност на глоби от всички останали органи в ЕС взети заедно. Вижте нашия преглед на съответствието с GDPR за влиянието на това върху решенията за доставчици.

Три глоби, определящи 2024-2025 г.

530 млн. евро срещу TikTok (май 2025 г.): Китайски инженери са имали достъп до записи на потребители от ЕС. Това е нарушило членове 44-46 от GDPR. Тези правила ограничават трансферите към страни без решение за адекватност на ЕС. Китай няма такова. TikTok твърдеше, че е имал адекватни контроли. DPC казва, че не е имал.

310 млн. евро срещу LinkedIn (октомври 2024 г.): LinkedIn се е позовавал на "легитимен интерес" за анализ на поведението. DPC установи, че това е невалидно. Обработката не е необходима за декларираната цел. Балансовият тест не е бил в полза на LinkedIn.

251 млн. евро срещу Meta (ноември 2024 г.): Нарушението на Facebook от 2018 г. не е докладвано навреме до DPC. DPC установи също, че лошите одитни журнали са направили невъзможно измерването на това, което е било разкрито.

Тези три се присъединиха към по-ранната глоба от 1,2 млрд. евро за Meta от май 2023 г. Тя също беше наложена от DPC за незаконни трансфери ЕС-САЩ. Тя остава най-голямата наказана по GDPR глоба, издавана някога.

DPC обработи над 8 500 трансгранични случая през 2024 г. Прегледайте нашата страница за сигурност и съответствие, за да видите как дизайнът с нулево знание адресира всяко нарушение.

Какво разкрива всяка глоба

Нарушения на трансгранични достъпи

И трите глоби споделят един основен проблем. Личните записи са били достъпни за персонал в страни без правила за поверителност на ниво ЕС.

Глобата на TikTok беше пряка. Файловете на потребители от ЕС са достигнали до китайски инженери въпреки декларираните контроли.

Какво означава това за избора на доставчик: Попитайте дали инженери извън ЕС могат да достигат до записи на потребители от ЕС. Доставчик може да е в Дъблин, но все пак да разкрива файлове от ЕС чрез персонал за поддръжка в САЩ. Само пребиваването в ЕС не е достатъчно. Нашето ръководство за обработка на обекти показва как контролите на достъп се съпоставят с член 46 от GDPR.

Нарушения на правното основание

Глобата на LinkedIn не беше за пробив. Беше за начина, по който LinkedIn е обосновал обработката си.

"Легитимният интерес" не е общо право. Администраторите трябва да документират реален балансов тест. Този тест трябва да покаже, че техният интерес надхвърля правата на потребителя. Нашата страница за съответствие обхваща как да преглеждате претенциите на доставчиците за правно основание.

Нарушения на регистрирането и уведомяванията

Глобата от 251 млн. евро за Meta включваше ключово установяване. Лошите одитни журнали направиха обхвата на нарушението невъзможен за измерване.

Мember 33 от GDPR изисква уведомяване за нарушения в рамките на 72 часа. Това уведомяване трябва да включва обхвата на засегнатите записи. Не можете да докладвате обхват, който не можете да измерите.

Попитайте потенциалните доставчици за структурата на техните одитни журнали. Ако доставчикът не може да отговори на въпроса "кои записи са разкрити?" след инцидент, той не отговаря на изискванията на член 33(3)(б).

Моделът при случаите на DPC

Прегледайте четирите основни глоби на DPC и ще се появи един модел. Регулаторите действат срещу проекти, при които инженерите на доставчика могат да виждат съдържанието на потребителите. Всяка голяма глоба включва лошо контролиран достъп до лични записи.

Дизайнът с нулево знание адресира основната загриженост при всеки случай. Съдържанието на потребителите е криптирано. Доставчикът не разполага с ключове за декриптиране.

При случаите с TikTok и Meta за трансфери инженери извън ЕС достигат до сървъра, но виждат само шифротекст. Не се разкриват четими записи. При случая с Meta за пробив пълен компромис на сървъра не дава нищо полезно. Обхватът на нарушението се свива. При LinkedIn доставчик, който никога не вижда обикновен текст, не може да провежда анализ на поведението върху него.

Това е прекият отговор на всяко действие на DPC. Вижте нашия преглед на сигурността за подробности, или нашето изявление на основателя защо anonym.legal е построен по този начин от самото начало.

Какво означава "Основно установяване"

Някои компании структурират ЕС организацията си, за да контролират кой орган има юрисдикция. Тук е важна позицията на DPC.

"Основното установяване" не е само адрес на компанията. Това е мястото, където се намира централното управление в ЕС. За администраторите, това е мястото, където се вземат решенията относно целите на обработката.

Фирма с екип за поверителност в Лондон може да няма основно установяване в ЕС. Органът на всяка държава-членка може тогава да предяви право над местни жалби.

Въпроси за преглед на доставчици

Използвайте тези въпроси при оценка на SaaS доставчици, обработващи лични записи.

Юрисдикция и достъп:

• Къде е основното установяване на доставчика в ЕС?
• Може ли персонал извън ЕС да достига до записи на потребители от ЕС при нормална работа?
• Подлежи ли компанията майка на доставчика на CLOUD Act или китайски закони за сигурност?

Технически дизайн:

• Остава ли съдържанието на потребители от ЕС на сървъри, хоствани в ЕС?
• Притежава ли доставчикът ключове за криптиране или клиентът?
• Достатъчно подробни ли са одитните журнали за измерване на обхвата на нарушение?

Записи за трансфери:

• Кой механизъм по член 46 от GDPR обхваща евентуалните потоци ЕС-САЩ?
• Провел ли е доставчикът Оценка на въздействието на трансфера?
• Какви допълнителни технически мерки са въведени?

Прилагането на закона от DPC е последователно в едно отношение. Дори фирми с екипи за поверителност и DPO получават големи глоби, когато техният технически проект не съответства на декларациите им. Вижте нашите казуси и FAQ за повече.

anonym.legal използва сървъри на Hetzner в ЕС с дизайн с нулево знание. Сървърите съдържат само AES-256-GCM шифротекст. Пълно нарушение не разкрива четими записи. Приложението за настолен компютър обработва цялото съдържание на устройството без външни връзки.

Източници

• Ирландска DPC -- Официални решения за прилагане -- VERIFIED-EXTERNAL
• EDPB -- Механизъм за едно гише -- VERIFIED-EXTERNAL
• Текст на GDPR -- Членове 33, 44-46, 60 -- VERIFIED