Proč Irsko vede vymáhání v EU
Irská Komise pro ochranu dat (DPC) je vedoucím orgánem pro většinu velkých technologických společností v EU. To není náhoda.
Nízká irská daňová sazba přilákala Apple, Google, Meta, LinkedIn a TikTok. Všechny si zde zřídily svá hlavní kanceláře pro EU.
Článek 60 GDPR činí z DPC vedoucí orgán pro tyto firmy. Z tohoto pravidla vyplývají tři věci.
Za prvé, stížnost v Německu na Facebook jde k irskému DPC, nikoli k německému BfDI. Za druhé, DPC spolupracuje s ostatními unijními orgány v přeshraničních případech. Za třetí, rozhodnutí DPC proti Meta platí v celé EU.
Výsledek je zřejmý. DPC vydal více pokut v hodnotě než všechny ostatní unijní orgány dohromady. Naše přehledová stránka souladu s GDPR vysvětluje, jak to ovlivňuje výběr dodavatelů.
Tři pokuty definující roky 2024–2025
€530 milionů pro TikTok (květen 2025): Čínští inženýři měli přístup k záznamům uživatelů z EU. To porušilo články 44–46 GDPR. Ta pravidla omezují přenosy do zemí bez rozhodnutí EU o adekvátnosti. Čína žádné nemá. TikTok tvrdil, že má dostatečné kontroly. DPC prohlásil, že nikoli.
€310 milionů pro LinkedIn (říjen 2024): LinkedIn se spoléhal na „oprávněný zájem“ pro analýzu chování. DPC to prohlásil za neplatné. Zpracování nebylo nezbytné pro deklarovaný cíl. Vyvažovací test nevyšel ve prospěch LinkedInu.
€251 milionů pro Meta (listopad 2024): Únik dat na Facebooku z roku 2018 nebyl DPC nahlášen včas. DPC rovněž zjistil, že nedostatečné auditní protokoly znemožnily změřit rozsah úniku.
Tyto tři se připojily k dřívější pokutě €1,2 miliardy pro Meta z května 2023. Ta pokuta rovněž pocházela od DPC, za nezákonné přenosy dat EU–USA. Stále zůstává největší pokutou GDPR vůbec.
DPC vyřídil v roce 2024 přes 8 500 přeshraničních případů. Prohlédněte si naši stránku o bezpečnosti a souladu a zjistěte, jak zero-knowledge design řeší každé selhání.
Co každá pokuta odhaluje
Selhání přístupu při přeshraničním předávání
Všechny tři pokuty sdílí jeden klíčový problém. Osobní záznamy byly přístupné zaměstnancům v zemích bez pravidel ochrany soukromí na unijní úrovni.
Pokuta pro TikTok byla přímočará. Soubory uživatelů z EU se dostaly k čínským inženýrům navzdory deklarovaným kontrolám.
Co to znamená pro výběr dodavatelů: Zeptejte se, zda mohou inženýři mimo EU přistupovat k záznamům uživatelů z EU umístěným v EU. Dodavatel může hostovat v Dublinu a přesto vystavit soubory EU americkým pracovníkům podpory. Sídlo v EU samo o sobě nestačí. Náš průvodce zpracováním entit ukazuje, jak kontroly přístupu odpovídají článku 46 GDPR.
Selhání právního základu
Pokuta pro LinkedIn se netýkala úniku dat. Týkala se způsobu, jakým LinkedIn odůvodnil své zpracování.
„Oprávněný zájem“ není blanketní právo. Správci musí zdokumentovat skutečný vyvažovací test. Ten musí prokázat, že jejich zájem převažuje nad právy uživatelů. Naše stránka souladu popisuje, jak přezkoumávat nároky dodavatelů na právní základ.
Selhání protokolování a oznamování
Pokuta €251 milionů pro Meta zahrnovala klíčové zjištění. Nedostatečné auditní protokoly znemožnily změřit rozsah úniku.
Článek 33 GDPR vyžaduje oznámení o úniku do 72 hodin. Toto oznámení musí zahrnovat rozsah dotčených záznamů. Nemůžete hlásit rozsah, který nedokážete změřit.
Ptejte se potenciálních dodavatelů na strukturu jejich auditních protokolů. Pokud dodavatel po incidentu nedokáže odpovědět na otázku „které záznamy byly odhaleny?“, nesplňuje požadavky článku 33 odst. 3 písm. b) GDPR.
Vzor napříč případy DPC
Při přečtení všech čtyř hlavních pokut DPC se vynoří jeden vzor. Regulátoři zasahují proti architekturám, kde inženýři dodavatele mohou vidět obsah uživatelů. Každá velká pokuta zahrnovala špatně kontrolovaný přístup k osobním záznamům.
Zero-knowledge design řeší základní problém v každém případu. Obsah uživatelů je šifrován. Dodavatel nedisponuje dešifrovacími klíči.
V případech přenosů TikToku a Meta inženýři mimo EU dosáhnou na server, ale vidí pouze šifrovaný text. Žádné čitelné záznamy nejsou odhaleny. V případě úniku Meta kompletní narušení serveru nepřinese nic použitelného. Rozsah úniku se zmenšuje. V případě LinkedInu dodavatel, který nikdy nevidí prostý text, na něm nemůže provádět behaviorální analýzu.
Toto je přímá odpověď na každou akci DPC. Viz náš přehled bezpečnosti pro detaily nebo naše prohlášení zakladatele o tom, proč bylo anonym.legal takto navrženo od prvního dne.
Co znamená „hlavní provozovna“
Některé společnosti konfigurují svou unijní strukturu tak, aby kontrolovaly, který DPA má jurisdikci. Pohled DPC je zde relevantní.
„Hlavní provozovna“ není pouhá adresa firmy. Je to místo, kde sídlí centrální management EU. Pro správce je to místo, kde jsou přijímána rozhodnutí o cílech zpracování.
Firma s londýnským týmem pro ochranu soukromí nemusí mít žádnou hlavní provozovnu v EU. Každý orgán členského státu pak může uplatnit pravomoc pro místní stížnosti.
Otázky pro přezkum dodavatelů
Použijte tyto otázky při hodnocení dodavatelů SaaS nakládajících s osobními záznamy.
Jurisdikce a přístup:
- Kde je hlavní provozovna dodavatele v EU?
- Mohou pracovníci mimo EU přistupovat k záznamům uživatelů z EU při běžné práci?
- Podléhá mateřská společnost dodavatele zákonu CLOUD Act nebo čínským bezpečnostním zákonům?
Technický návrh:
- Zůstává obsah uživatelů z EU na serverech hostovaných v EU?
- Drží dodavatel šifrovací klíče, nebo zákazník?
- Jsou auditní protokoly dostatečně podrobné pro měření rozsahu úniku?
Záznamy o přenosech:
- Jaký mechanismus dle článku 46 GDPR pokrývá případné toky EU–USA?
- Provedl dodavatel posouzení dopadu přenosu?
- Jaká dodatečná technická opatření jsou zavedena?
Vymáhání DPC je v jednom bodě konzistentní. I firmy s týmy pro ochranu soukromí a DPO čelí vysokým pokutám, pokud jejich technický návrh neodpovídá jejich tvrzením. Viz naše případové studie a FAQ pro více informací.
anonym.legal používá servery Hetzner v EU se zero-knowledge designem. Servery uchovávají pouze šifrovaný text AES-256-GCM. Kompletní únik dat neodhalí žádné čitelné záznamy. Desktopová aplikace zpracovává veškerý obsah lokálně na zařízení bez externích připojení.
Zdroje
- Irský DPC — Oficiální vymáhací rozhodnutí — VERIFIED-EXTERNAL
- EDPB — Mechanismus one-stop-shop — VERIFIED-EXTERNAL
- Text GDPR — Články 33, 44–46, 60 — VERIFIED