Η Autoriteit Persoonsgegevens (AP) επέβαλε πρόστιμο €290 εκατομμυρίων στην Uber τον Αύγουστο του 2024. Το πρόστιμο αφορούσε αποστολή δεδομένων οδηγών σε αμερικανικούς διακομιστές χωρίς έγκυρη συμφωνία μεταφοράς. Κανένα άλλο υπόθεση GDPR δεν έχει παράγει μεγαλύτερο πρόστιμο για διασυνοριακή μεταφορά. Η AP χειρίστηκε επίσης άνω των 21.400 καταγγελιών το 2023. Αυτό την κατατάσσει μεταξύ των πιο απασχολημένων εποπτικών αρχών δεδομένων στην Ευρώπη.
Τι Διαπίστωσε η AP στην Υπόθεση Uber
Η Uber συνέλεγε δεδομένα από οδηγούς στις Κάτω Χώρες και τη Γαλλία. Τα δεδομένα κάλυπταν ιστορικό τοποθεσίας, έγγραφα ταυτότητας, αρχεία αμοιβών, αρχεία οδήγησης και φορολογικά αρχεία. Όλα μεταφέρθηκαν σε αμερικανικούς διακομιστές. Η AP αποφάνθηκε ότι η μέθοδος μεταφοράς δεν ήταν έγκυρη.
Τρία ευρήματα οδήγησαν στην απόφαση:
- Αδύναμη μέθοδος μεταφοράς: Η Uber χρησιμοποίησε Δεσμευτικούς Εταιρικούς Κανόνες (BCRs). Η AP διαπίστωσε ότι αυτοί δεν κάλυπταν την έκταση ή την ευαισθησία των δεδομένων οδηγών που αφορούσαν.
- Χωρίς Εκτίμηση Αντίκτυπου Μεταφοράς (TIA): Η Uber δεν απέδειξε ότι η αμερικανική νομοθεσία διατηρεί τις συμφωνημένες προστασίες μεταφοράς σε ισχύ.
- Ευαίσθητα δεδομένα μέσω συνδυασμού: Δεδομένα τοποθεσίας, αμοιβές και βαθμολογίες απόδοσης μαζί παρέχουν λεπτομερή εικόνα κάθε οδηγού. Η AP αντιμετώπισε αυτόν τον συνδυασμό ισοδύναμα με ευαίσθητα προσωπικά δεδομένα.
Η υπόθεση Uber θέτει έναν σαφή κανόνα. Τα δεδομένα προσωπικού και εργολάβων που αποστέλλονται στις ΗΠΑ χρειάζονται την ίδια TIA και πρόσθετα μέτρα όπως τα δεδομένα καταναλωτών.
Τομείς Εστίασης της AP για το 2025
Ενημερώθηκε για το 2026
Η AP έχει ονομάσει τρεις τομείς που παρακολουθεί στενά το 2025.
Παρακολούθηση προσωπικού: Τα εργαλεία παρακολούθησης εξ αποστάσεως εργασίας είναι ο κύριος στόχος. Αυτό περιλαμβάνει αρχεία παραγωγικότητας, λήψη οθόνης, καταγραφή πληκτρολογίου και εργαλεία απομακρυσμένης τοποθεσίας. Πριν από την ανάπτυξη οποιουδήποτε τέτοιου εργαλείου, οι εταιρείες πρέπει να καταγράφουν γιατί απέρριψαν λιγότερο παρεμβατικές επιλογές.
Διασυνοριακές μεταφορές δεδομένων: Μετά την απόφαση για την Uber, η AP ελέγχει τις μεθόδους μεταφοράς. Στο πεδίο εφαρμογής βρίσκονται εταιρείες που βασίζονται σε υπηρεσίες των ΗΠΑ, Ασίας ή άλλων χωρών εκτός της ΕΕ. Οποιαδήποτε εταιρεία χρησιμοποιεί αμερικανικά εργαλεία λογισμικού για ανθρώπινο δυναμικό, έργα ή δεδομένα πελατών πρέπει να διαθέτει ενημερωμένη TIA.
Αυτοματοποιημένες αποφάσεις: Η βαθμολόγηση πίστωσης με τεχνητή νοημοσύνη, τα φίλτρα πρόσληψης και τα συστήματα απόδοσης ενεργοποιούν υποχρεώσεις του Άρθρου 22. Η AP στοχεύει οργανισμούς που λαμβάνουν αυτοματοποιημένες αποφάσεις χωρίς πραγματικό βήμα ανθρώπινης επανεξέτασης. Εργαζόμενοι και καταναλωτές πρέπει και οι δύο να καλύπτονται.
Το BSN: Ένας Προστατευμένος Εθνικός Αναγνωριστικός Αριθμός
Το Burgerservicenummer (BSN) είναι ένας 9ψήφιος αριθμός ταυτότητας που χρησιμοποιείται στις Κάτω Χώρες. Επαληθεύεται με τον έλεγχο Elfproef (eleven-proof). Για να εκτελεστεί ο έλεγχος: πολλαπλασιάστε κάθε ψηφίο με βάρος από 9 έως −1, προσθέστε τα αποτελέσματα και το σύνολο πρέπει να διαιρείται ακριβώς διά 11.
Ο Νόμος BSN (Wet algemene bepalingen burgerservicenummer) περιορίζει τη χρήση του BSN σε συγκεκριμένα νομικά πλαίσια. Αυτά είναι: φορολογία, υγειονομική περίθαλψη, κυβέρνηση και μισθοδοσία εργοδότη. Η χρήση BSN εκτός αυτών των πλαισίων επιφέρει επιβολή του Νόμου BSN. Η ευθύνη GDPR ισχύει επιπρόσθετα.
Γιατί τα γενικά εργαλεία χάνουν BSNs: Πολλά εργαλεία NLP δεν περιλαμβάνουν τον έλεγχο Elfproef. Χωρίς αυτόν, οποιαδήποτε συμβολοσειρά 9 ψηφίων επισημαίνεται ως πιθανό BSN. Αυτό δημιουργεί ψευδείς συναγερμούς σε χρηματοοικονομικά και διοικητικά έγγραφα. Τα λανθασμένα BSN επίσης χάνονται. Αποτυγχάνουν στον έλεγχο αλλά εξακολουθούν να μοιάζουν με έγκυρο μοτίβο. Δείτε τον οδηγό μας για ανίχνευση εθνικού ΑΦΜ ΕΕ και PII για πλήρη σύγκριση σε ευρωπαϊκές μορφές ταυτότητας.
NER για Ολλανδικό Κείμενο
Τα Ολλανδικά (Nederlands) έχουν χαρακτηριστικά που μπερδεύουν μοντέλα εκπαιδευμένα στα Αγγλικά.
Σύνθετες λέξεις: Τα Ολλανδικά συνενώνουν λέξεις. Το Persoonsgegevens (προσωπικά δεδομένα) και το Burgerservicenummer (αριθμός ταυτότητας πολίτη) είναι η καθεμία μία λέξη. Τα μοντέλα που δημιουργήθηκαν για τα Αγγλικά συχνά τα χωρίζουν στο λάθος σημείο. Αυτό διακόπτει την ανίχνευση οντοτήτων.
Καταλήξεις ονομάτων: Τα επιθήματα -je και -tje εμφανίζονται σε βαπτιστικά ονόματα — Annetje, Hansje. Τα μοντέλα ονομάτων πρέπει να χειρίζονται τόσο τη βασική μορφή όσο και τη σύντομη μορφή.
Μορφές διευθύνσεων: Οι τύποι οδών περιλαμβάνουν Straat, Laan, Weg, Plein και Gracht. Οι ταχυδρομικοί κώδικες χρησιμοποιούν τέσσερα ψηφία συν δύο γράμματα (παράδειγμα: 1234 AB). Κάθε κώδικας αντιστοιχεί σε μία μόνο οδό, οπότε αποκαλύπτει περισσότερες πληροφορίες από τους περισσότερους ευρωπαϊκούς ταχυδρομικούς κώδικες.
Μορφή IBAN: Τα ολλανδικά IBAN έχουν 18 χαρακτήρες: NL + 2 ψηφία ελέγχου + 4ψήφιος κωδικός τράπεζας + 10ψήφιος αριθμός λογαριασμού. Η χώρα έχει υψηλή χρήση καρτών πληρωμής. Τα χρηματοοικονομικά έγγραφα φέρουν συνεπώς πολλά IBAN. Για μεθόδους βαθμολόγησης εμπιστοσύνης σε τύπους ταυτότητας, δείτε δυαδική ανίχνευση PII και βαθμολόγηση εμπιστοσύνης.
Τεχνική Λίστα Ελέγχου για Συμμόρφωση με την AP
Για να πληρούν τα τρέχοντα πρότυπα της AP, τα συστήματα δεδομένων χρειάζονται:
- Ανίχνευση BSN με Elfproef — η αντιστοίχιση μοτίβων μόνο δεν αρκεί
- NER για ολλανδική γλώσσα — ένα μοντέλο όπως το spaCy
nl_core_newsχειρίζεται σύνθετες λέξεις και ονόματα σύντομης μορφής - Ανίχνευση IBAN — με επίγνωση μορφής, όχι γενική
- Αρχεία υπεργολάβων για όλες τις διασυνοριακές μεταφορές
- TIAs για αμερικανικούς προμηθευτές — ενεργή προτεραιότητα ελέγχου AP μετά την απόφαση Uber
Μετά το πρόστιμο Uber, μια TIA για αμερικανικούς προμηθευτές είναι βασική απαίτηση, όχι καλή πρακτική. Για πλήρη ανάλυση της απόφασης και των συνεπειών της για τις μεταφορές, δείτε πρόστιμο AP Uber και επιβολή διασυνοριακής μεταφοράς.