Rakouský Datenschutzbehörde (DSB) je vedoucím dozorovým úřadem pro případy podávané organizací NOYB — None of Your Business — neziskovou advokační organizací na ochranu soukromí, kterou založil Max Schrems. NOYB od roku 2018 podala přes 1 000 strategických stížností podle GDPR a DSB jich v letech 2022–2024 vyřídil 422. Pochopit vymáhání ze strany DSB znamená pochopit strategické soudní spory, které dvakrát přetvořily právo přenosů dat v EU.
NOYB a DSB: vzorec strategického vymáhání
Schrems I (2015): Stížnost Maxe Schremse na přenosy dat EU–USA ze strany Facebooku nakonec vedla ke zrušení rámce Safe Harbor, který využívalo více než 4 000 společností.
Schrems II (2020): Schrems'ova návazná výzva zrušila americký štít ochrany soukromí EU–USA (EU-US Privacy Shield), čímž zasáhla více než 5 000 společností a vyvolala nouzové přejednání, jehož výsledkem je současný rámec EU–USA pro ochranu soukromí (2023).
Očekávaný Schrems III (2025–2026): NOYB podala výzvy vůči rozhodnutí o přiměřenosti DPF s argumentem, že oddíl 702 zákona FISA zůstává neslučitelný s GDPR. Předložení věci Soudnímu dvoru EU je očekáváno.
78 % případů vymáhání DSB se týká přenosů dat nebo integrací třetích stran — toto zaměření na přenosy je určující charakteristikou rakouského vymáhání.
Rozhodnutí DSB ve věci Google Analytics
Rozhodnutí DSB ve věci Google Analytics z ledna 2022 nastavilo vzorec pro veškeré následné vymáhání v oblasti přenosů:
- IP adresy jsou osobní data. Dokonce i zkrácené IP adresy v kombinaci s daty relace umožňují reidentifikaci v databázi Google.
- Přístup amerického dodavatele = přenos. Když mohou američtí technici přistupovat k datům uživatelů z EU (za účelem podpory, údržby nebo na zákonný příkaz), tento přístup představuje přenos dat ve smyslu GDPR.
- Standardní smluvní doložky bez adekvátního TIA = porušení. Standardní smluvní doložky bez posouzení dopadu přenosu prokazujícího, že americké sledovací právo jejich platnost nemaří, jsou nedostačující.
DSB shledal, že odpovědným správcem dat za nelegální přenos byl provozovatel rakouské webové stránky — nikoliv Google. Tento princip se dotýká každé firmy z EU, která do svých stránek vkládá skripty třetích stran.
Doplňková technická opatření: co skutečně funguje
Po rozhodnutí Schrems II vydal EDPB pokyny k doplňkovým technickým opatřením vyžadovaným v případech, kdy samotné standardní smluvní doložky nestačí. DSB tato doporučení vymáhá:
Šifrování s klíči drženými v EU: Pokud jsou osobní data z EU šifrována před přenosem do USA a dešifrovací klíče jsou výhradně v rukou držitelů klíčů se sídlem v EU, jsou data pro účely přenosu podle GDPR fakticky anonymní — americké úřady nemohou vynutit přístup k datům, která nemohou přečíst.
Pseudonymizace před přenosem: Pokud přenášená data obsahují pouze pseudonymní identifikátory (klíč pro reidentifikaci je držen v EU), přenášená data nepředstavují „osobní data“ pro účely přenosu.
Místní zpracování: Data, která nikdy neopustí infrastrukturu hostovanou v EU, se zcela vyhnou požadavkům na přenos. Přenášejí se pouze agregované a skutečně anonymizované statistiky.
DSB shledal, že organizace používající americké SaaS dodavatele pro zpracování osobních dat z EU musí buď tato opatření implementovat, nebo prokázat, že data jsou skutečně anonymizována.
Riziko Schrems III pro organizace využívající americké dodavatele
Organizace spoléhající výhradně na rámec EU–USA pro ochranu soukromí (DPF) při přenosech dat do USA čelí konkrétnímu riziku: pokud NOYB uspěje se svou výzvou u Soudního dvora EU — jak tomu bylo v případě Safe Harbor (2015) a Privacy Shield (2020) — budou muset organizace okamžitě hledat alternativní mechanismy přenosu.
Organizace využívající doplňková technická opatření (šifrování s klíči drženými v EU, skutečná anonymizace před přenosem) jsou vůči zrušení DPF chráněny. Přenos technicky nenastane, pokud jsou data skutečně anonymizována nebo šifrována klíči, k nimž americký dodavatel nemá přístup.
Concrete pro rakouské operace: webová analytika pomocí amerických nástrojů (Google Analytics, Mixpanel, Amplitude), CRM systémy s americkými mateřskými společnostmi (Salesforce, HubSpot) a cloudová infrastruktura s přístupem administrátorů z USA — to vše zakládá expozici vůči vymáhání ze strany DSB. Zmírněním je zajistit, aby osobní data v těchto systémech byla buď skutečně anonymizována, než se dostanou do systémů dodavatele, nebo šifrována klíči drženými výhradně správcem dat v EU.
Zdroje: