Η ολλανδική αρχή και το πρόστιμο στην Uber
Τον Αύγουστο 2024, η ολλανδική Autoriteit Persoonsgegevens (AP) επέβαλε πρόστιμο €290 εκατομμυρίων στην Uber. Η Uber είχε μεταφέρει δεδομένα ευρωπαίων οδηγών σε αμερικανικούς διακομιστές χωρίς νομική βάση. Τα δεδομένα περιλάμβαναν άδειες ταξί, ποινικά μητρώα, ιατρικά αρχεία και αρχεία ταξιδίων.
Η Uber συνέχισε αυτές τις μεταφορές μετά την ακύρωση του Privacy Shield ΕΕ-ΗΠΑ από την απόφαση Schrems II τον Ιούλιο 2020, για περίπου δύο χρόνια. Χωρίς Τυπικές Συμβατικές Ρήτρες. Χωρίς κανένα μηχανισμό βάσει Άρθρου 46.
Αυτό είναι το μεγαλύτερο πρόστιμο ΕΕ που έχει επιβληθεί ποτέ για παραβίαση σχετική με μεταφορές δεδομένων, το τρίτο μεγαλύτερο στην ιστορία του GDPR. Οι παράνομες μεταφορές συνεπάγονται πλέον τεράστια κόστη — όχι μόνο οι παραβιάσεις δεδομένων καθεαυτές.
Συμβουλευτείτε τον οδηγό συμμόρφωσης GDPR μας για γρήγορη επισκόπηση.
Προτεραιότητες επιβολής της AP
Το 2023 η AP έλαβε πάνω από 21.400 καταγγελίες. Επικεντρώνεται σε τρεις κύριους τομείς.
Προτεραιότητα 1 — Παρακολούθηση εργαζομένων (43% των υποθέσεων): Πολλές εταιρείες στις Κάτω Χώρες έχουν λάβει κυρώσεις από την AP για παρακολούθηση εργαζομένων. Κρυφές κάμερες, μαζικός έλεγχος email και παρακολούθηση GPS χωρίς ειδοποίηση ενεργοποιούν την παρέμβαση της αρχής. Το ολλανδικό εργατικό δίκαιο προσθέτει πρόσθετους κανόνες στο GDPR.
Προτεραιότητα 2 — Διεθνείς μεταφορές (31% των υποθέσεων): Μετά το πρόστιμο στην Uber και κοινή έρευνα με την ιρλανδική DPC για το Cloudflare (2023), η AP εντατικοποίησε την εποπτεία των μεταφορών. Ο τεχνολογικός τομέας του Άμστερνταμ είναι ιδιαίτερα εκτεθειμένος: εταιρείες cloud, fintech και ταχέως αναπτυσσόμενα startups εμπίπτουν όλα στο πεδίο εφαρμογής.
Προτεραιότητα 3 — Μάρκετινγκ και κατάρτιση προφίλ (26% των υποθέσεων): Αυτός ο τομέας καλύπτει συγκατάθεση cookies, στοχευμένη διαφήμιση και άμεσο μάρκετινγκ. Η AP υιοθετεί αυστηρή ερμηνεία του «εννόμου συμφέροντος», απαιτώντας τεκμηριωμένες δοκιμές με συγκεκριμένα αποδεικτικά στοιχεία.
Κανόνες μεταφορών μετά την Uber
Transfer Impact Assessment (TIA): Το EDPB απαιτεί TIA για κάθε μεταφορά σε τρίτη χώρα. Το TIA πρέπει να αποδεικνύει ότι η χώρα προορισμού παρέχει ισοδύναμη προστασία με το ευρωπαϊκό δίκαιο. Σύμφωνα με την AP, ένα TIA πρέπει να απαντά σε τέσσερα ερωτήματα:
- Ποιοι νόμοι πρόσβασης σε δεδομένα ισχύουν στη χώρα προορισμού;
- Ποια είναι η έκταση των εξουσιών των υπηρεσιών πληροφοριών;
- Ποιο είναι το ιστορικό κυβερνητικών αιτημάτων προς τον εισαγωγέα δεδομένων;
- Ποια μέσα έννομης προστασίας διατίθενται στα υποκείμενα δεδομένων;
Οι Τυπικές Συμβατικές Ρήτρες από μόνες τους δεν αρκούν: Οι SCC δεν ικανοποιούν αυτόνομα τις απαιτήσεις του Άρθρου 46. Αν το TIA εντοπίσει κινδύνους κυβερνητικής πρόσβασης, απαιτούνται πρόσθετα προστατευτικά μέτρα.
Πρόσθετα τεχνικά μέτρα αποδεκτά από την AP:
- Κρυπτογράφηση όπου ο εισαγωγέας δεδομένων δεν έχει πρόσβαση στα κλειδιά αποκρυπτογράφησης
- Αφαίρεση άμεσων αναγνωριστικών πριν τη μεταφορά, ώστε ο εισαγωγέας να μην μπορεί να συνδέσει τα δεδομένα με ένα άτομο
- Μείωση δεδομένων πριν τη μεταφορά, με αφαίρεση πεδίων που δεν είναι απαραίτητα για τον εισαγωγέα
Η εφαρμογή επιτραπέζιου υπολογιστή offline επεξεργάζεται τα πάντα στη συσκευή σας χωρίς να αποστέλλει δεδομένα εξωτερικά. Αυτό εξαλείφει το ζήτημα μεταφορών για τέτοιες δραστηριότητες. Συμβουλευτείτε την επισκόπηση ασφάλειας και συμμόρφωσης μας.
Δεδομένα εργαζομένων και ολλανδικό εργατικό δίκαιο
Το 43% των υποθέσεων της AP που αφορά παρακολούθηση εργαζομένων δείχνει πόσο αλληλεπικαλύπτονται GDPR και ολλανδικό εργατικό δίκαιο.
Τρεις κανόνες ισχύουν για οργανισμούς με έδρα στις Κάτω Χώρες:
Έγκριση εργατικού συμβουλίου: Εταιρείες με ondernemingsraad πρέπει να λαμβάνουν έγκρισή του πριν εισαγάγουν οποιοδήποτε εργαλείο παρακολούθησης, συμπεριλαμβανομένων συστημάτων ΤΝ, ελέγχου email και συστημάτων καταγραφής παρουσιών.
Αναλογικότητα: Η παρακολούθηση πρέπει να αντιστοιχεί στον δηλωμένο σκοπό. Η μυστική παρακολούθηση δεν επιτρέπεται. Η φανερή παρακολούθηση πρέπει να είναι η λιγότερο παρεμβατική επιλογή.
Περιορισμός σκοπού: Τα δεδομένα HR που συλλέγονται για έναν σκοπό δεν μπορούν να χρησιμοποιηθούν για άλλον. Απαιτείται νέα νομική βάση.
Αυτοί οι κανόνες απαιτούν τρεις τύπους εγγράφων: έγκριση συμβουλίου, έλεγχο αναλογικότητας και εφαρμοσμένους ελέγχους. Το checklist συμμόρφωσης μας καλύπτει και τα τρία.
Ανίχνευση PII στις Κάτω Χώρες
Τα εργαλεία PII στις Κάτω Χώρες πρέπει να αναγνωρίζουν τοπικές μορφές αναγνωριστικών. Τα γενικά εργαλεία συχνά αποτυγχάνουν:
- BSN (Burger Service Nummer): Ολλανδικός εθνικός αριθμός ταυτότητας 9 ψηφίων — απαιτεί επικύρωση αθροίσματος ελέγχου
- IBAN (πρόθεμα NL): Ολλανδικό IBAN με ιδιαίτερη λογική επικύρωσης
- Ταχυδρομικός κωδικός (postcode): Μορφή 4 ψηφία + κενό + 2 γράμματα
- DigiD: Κυβερνητικός κωδικός ψηφιακής ταυτότητας
- Αριθμοί υγείας: Μορφές BGZ και EP για δεδομένα ασθενών
Ένα γενικό εργαλείο μπορεί να ανιχνεύει IBAN αλλά να αποτυγχάνει να επικυρώσει το άθροισμα ελέγχου BSN ή τη μορφή ταχυδρομικού κώδικα. Πριν επεξεργαστείτε δεδομένα εθνικής ταυτότητας, εκτελέστε ειδικές δοκιμές για ανίχνευση BSN. Μην παραδεχτείτε κάλυψη ως δεδομένο.
Πρακτικά βήματα για ολλανδικούς οργανισμούς
1. Έλεγχος μεταφορών: Καταγράψτε όλες τις ροές δεδομένων σε τρίτες χώρες. Επαληθεύστε τις SCC που χρησιμοποιείτε. Εκπονήστε TIA για τις κύριες ροές. Τεκμηριώστε πρόσθετα τεχνικά μέτρα όπου ένα TIA αναδεικνύει κινδύνους.
2. Επανεξέταση παρακολούθησης εργαζομένων: Καταγράψτε όλα τα εργαλεία παρακολούθησης, συμπεριλαμβανομένων εκείνων βάσει ΤΝ. Επαληθεύστε την ύπαρξη πρακτικών έγκρισης εργατικού συμβουλίου. Επιβεβαιώστε γραπτώς τους ελέγχους αναλογικότητας.
3. Επαλήθευση κάλυψης PII: Δοκιμάστε την ανίχνευση BSN, ταχυδρομικών κωδίκων και IBAN στα εργαλεία PII που χρησιμοποιείτε. Δοκιμάστε την ακρίβεια σε έγγραφα στην ολλανδική γλώσσα.
4. Έκθεση τεχνολογικού τομέα: Τα startups θα πρέπει να τεκμηριώνουν επιλογές που μειώνουν τον κίνδυνο μεταφορών — cloud σε περιοχή ΕΕ και επιλογές τοπικής επεξεργασίας. Οι πάροχοι cloud με διαμορφώσεις ΕΕ-ΗΠΑ θα πρέπει να τεκμηριώνουν τα εργαλεία μεταφορών και την προσέγγισή τους στα TIA.
Το anonym.legal χρησιμοποιεί ευρωπαϊκά κέντρα δεδομένων Hetzner με αρχιτεκτονική zero-knowledge. Ο διακομιστής δεν βλέπει ποτέ το περιεχόμενο σε καθαρό κείμενο. Μια πλήρης παραβίαση διακομιστή παράγει μόνο κρυπτογραφημένο κείμενο AES-256-GCM. Χρειάζεστε επεξεργασία αποκλειστικά τοπικά; Η εφαρμογή επιτραπέζιου υπολογιστή λειτουργεί εξ ολοκλήρου στη συσκευή σας χωρίς εξωτερικές συνδέσεις.