Autoriteit Persoonsgegevens (AP) pokutoval Uber v srpnu 2024 částkou 290 milionů eur. Pokuta se týkala přenosu dat řidičů na americké servery bez platné dohody o přenosu. Žádný případ podle GDPR nepřinesl vyšší pokutu za přeshraniční přenos. AP zároveň v roce 2023 vyřídil přes 21 400 stížností. To z něj dělá jednoho z nejzaneprázdněnějších regulátorů v Evropě.
Co AP zjistil v kauze Uber
Uber shromažďoval data od řidičů v Nizozemsku a Francii. Data zahrnovala historii polohy, identifikační doklady, záznamy o mzdách, záznamy o jízdách a daňové spisy. Vše se přenášelo na americké servery. AP rozhodl, že použitý způsob přenosu nebyl platný.
Rozhodnutí stojí na třech zjištěních:
- Slabý mechanismus přenosu: Uber použil závazná podniková pravidla (BCR). AP shledal, že tato pravidla nepokrývají rozsah ani citlivost dotčených dat řidičů.
- Chybějící posouzení dopadu přenosu (TIA): Uber neprokázal, že americká legislativa zachovává dohodnuté záruky ochrany dat.
- Citlivá data kombinací: Údaje o poloze, mzdě a výkonnostním hodnocení dohromady poskytují podrobný obraz každého řidiče. AP tuto kombinaci považoval za ekvivalent zvláštní kategorie osobních údajů.
Kauza Uber stanovuje jasné pravidlo. Data zaměstnanců a subdodavatelů odesílaná do USA vyžadují stejné TIA a doplňková opatření jako data spotřebitelů.
Prioritní oblasti vymáhání AP pro rok 2025
Aktualizováno pro rok 2026
AP označil tři oblasti, které bude v roce 2025 pečlivě sledovat.
Monitorování zaměstnanců: Nástroje pro sledování práce na dálku jsou hlavním cílem. Patří sem protokoly produktivity, záznamy obrazovky, sledování stisků kláves a nástroje vzdálené lokalizace. Před nasazením takového nástroje musí firmy zdokumentovat, proč odmítly méně invazivní alternativy.
Přeshraniční přenosy dat: Po rozsudku v kauze Uber AP kontroluje mechanismy přenosu. V záběru jsou firmy, které se spoléhají na služby z USA, Asie nebo jiných zemí bez rozhodnutí o přiměřenosti. Každá firma využívající americké softwarové nástroje pro personalistiku, projektovou práci nebo zákaznická data musí mít aktuální TIA.
Automatizovaná rozhodnutí: Systémy umělé inteligence pro kreditní scoring, výběr zaměstnanců a hodnocení výkonu zakládají povinnosti podle článku 22. AP se zaměřuje na organizace, které přijímají automatizovaná rozhodnutí bez skutečného kroku lidského přezkumu. Povinnosti se vztahují jak na pracovníky, tak na spotřebitele.
BSN: Chráněný národní identifikátor
Burgerservicenummer (BSN) je 9místné identifikační číslo používané v Nizozemsku. Ověřuje se pomocí kontroly Elfproef (jedenáctová zkouška). Postup: každou cifru vynásobte váhou od 9 dolů až po −1, výsledky sečtěte a součet musí být dělitelný 11.
Zákon o BSN (Wet algemene bepalingen burgerservicenummer) omezuje jeho použití na konkrétní právní kontexty: daně, zdravotnictví, státní správa a mzdová agenda zaměstnavatelů. Použití BSN mimo tyto kontexty zakládá porušení zákona o BSN. K tomu se přidává odpovědnost podle GDPR.
Proč obecné nástroje BSN přehlíží: Mnohé nástroje NLP neobsahují kontrolu Elfproef. Bez ní je jako možný BSN označen jakýkoli 9místný řetězec. To způsobuje falešné poplachy ve finančních a správních dokumentech. Chybně zadaná BSN čísla jsou také přehlédnuta — kontrolou projdou, ale obsahují nesprávná data. Viz náš průvodce detekcí daňových ID a PII v zemích EU s úplným srovnáním evropských formátů.
NER pro nizozemský text
Nizozemština (Nederlands) má rysy, které komplikují modely trénované na angličtině.
Složeniny: Nizozemština slova spojuje. Persoonsgegevens (osobní údaje) a Burgerservicenummer (číslo občana) jsou každé jediné slovo. Modely vytvořené pro angličtinu je často rozdělují na špatném místě. To narušuje detekci entit.
Koncovky jmen: Přípony -je a -tje se objevují v křestních jménech — Annetje, Hansje. Modely pro jména musejí zvládat základní i zkrácenou formu.
Formáty adres: Typy ulic zahrnují Straat, Laan, Weg, Plein a Gracht. PSČ tvoří čtyři číslice a dvě písmena (příklad: 1234 AB). Každé PSČ odpovídá jediné ulici, takže odhaluje více než většina evropských PSČ.
Formát IBAN: Nizozemské IBAN má 18 znaků: NL + 2 kontrolní číslice + 4místný kód banky + 10místné číslo účtu. V zemi je vysoké využití plateb kartou. Výsledkem je velký výskyt IBAN čísel ve finančních dokumentech. Metody hodnocení spolehlivosti různých typů ID viz binární detekce PII a hodnocení spolehlivosti.
Technický kontrolní seznam pro soulad s AP
Ke splnění aktuálních standardů AP potřebují datové systémy:
- Detekci BSN s kontrolou Elfproef — samotná shoda vzoru nestačí
- NER pro nizozemský jazyk — model jako spaCy
nl_core_newszvládá složeniny a zkrácená jména - Detekci IBAN — s ohledem na formát, nikoli generickou
- Záznamy o zpracovatelích pro všechny přeshraniční přenosy
- TIA pro americké dodavatele — aktuální priorita auditu AP po rozsudku Uber
Po kauze Uber je TIA pro americké dodavatele základním požadavkem, nikoli osvědčenou praxí. Podrobný rozbor rozsudku a jeho důsledků pro přenosy dat viz pokuta AP pro Uber a vymáhání přeshraničních přenosů.