La AP Holandesa y la Multa a Uber
En agosto de 2024, la Autoriteit Persoonsgegevens (AP) holandesa multó a Uber con 290 millones de euros. Uber había transferido datos de conductores europeos a servidores estadounidenses sin base legal. Esos datos incluían licencias de taxi, antecedentes penales, registros médicos e historiales de viajes.
Uber trasladó los datos tras la sentencia Schrems II, que anuló el Escudo de Privacidad UE-EE. UU. en julio de 2020. Las transferencias continuaron durante dos años. Sin cláusulas contractuales tipo. Sin ningún instrumento del artículo 46.
Esta multa es la mayor de la UE por una infracción de transferencia de datos. Ocupa el tercer lugar entre todas las multas del RGPD. Los fallos en las transferencias tienen ahora un coste enorme. No solo las brechas de datos.
Consulte nuestra guía de conformidad con el RGPD para una visión general rápida.
Prioridades de Actuación de la AP
La AP recibió más de 21.400 reclamaciones del RGPD en 2023. Se centra en tres áreas.
Prioridad 1 — Vigilancia de empleados (43 % de los casos): Muchas empresas neerlandesas han recibido multas de la AP por vigilar a su personal. Las cámaras ocultas, los controles masivos de correos y el seguimiento GPS sin aviso activan medidas. El derecho laboral neerlandés añade normas adicionales al RGPD.
Prioridad 2 — Transferencias transfronterizas (31 % de los casos): Tras la multa a Uber y una investigación conjunta con la DPC irlandesa sobre Cloudflare (2023), la AP reforzó la supervisión de transferencias. El sector tecnológico de Ámsterdam tiene una alta exposición. Las empresas de nube, fintech y startups de alto crecimiento están todas en el punto de mira.
Prioridad 3 — Marketing y elaboración de perfiles (26 % de los casos): Esto cubre el consentimiento para cookies, la segmentación publicitaria y el marketing directo. La AP tiene una visión estricta del "interés legítimo". Exige pruebas escritas con evidencia clara.
Normas de Transferencia Tras Uber
Evaluaciones de Impacto de Transferencia (TIA): El CEPD exige una TIA para cada transferencia a un tercer país. La TIA debe demostrar que el país de destino ofrece una protección equivalente a la del derecho de la UE. La AP dice que una TIA debe responder a cuatro preguntas:
- ¿Cuáles son las leyes de acceso de las autoridades en el país de destino?
- ¿Hasta dónde llegan los servicios de inteligencia?
- ¿Cuál es el historial de solicitudes gubernamentales al importador de datos?
- ¿Qué recursos legales tienen los interesados?
Cláusulas contractuales tipo — no suficientes por sí solas: Las CCT por sí solas no satisfacen el artículo 46 si la TIA muestra riesgo de acceso gubernamental. Entonces se requieren garantías adicionales.
Medidas técnicas adicionales que acepta la AP:
- Cifrado en el que el importador no tiene acceso a las claves de descifrado
- Eliminación de identificadores directos antes de la transferencia para que el importador no pueda vincular los datos a una persona
- Reducción de datos antes de la transferencia, eliminando campos que el importador no necesita
La aplicación Desktop de anonym.legal lee archivos en su dispositivo; la detección se ejecuta en la API alojada en la UE (Hetzner, Falkenstein), por lo que los datos permanecen en la UE. Para un procesamiento sin ninguna conexión externa, nuestro producto hermano anonym.plus funciona íntegramente en el dispositivo. Vea nuestra visión general de seguridad y cumplimiento.
Datos de Empleados y Derecho Laboral Neerlandés
El 43 % del enfoque de la AP en la vigilancia de empleados muestra cómo se superponen el RGPD y el derecho laboral neerlandés.
Tres normas aplican a las organizaciones con sede en los Países Bajos:
Aprobación del comité de empresa: Una empresa con comité de empresa (Ondernemingsraad) debe obtener su aprobación antes de desplegar cualquier herramienta de vigilancia. Esto cubre herramientas de IA, controles de correo y sistemas de asistencia.
Proporcionalidad: La vigilancia debe ajustarse a su finalidad declarada. La vigilancia encubierta no está permitida. La vigilancia abierta debe ser la opción menos intrusiva.
Limitación de finalidad: Los datos de RR. HH. recopilados para un fin no pueden usarse para otro. Se necesita una nueva base legal.
Estas normas requieren tres documentos: la aprobación del comité, la verificación de finalidad y los controles. Nuestra lista de verificación de cumplimiento cubre los tres.
Detección de PII en los Países Bajos
Las herramientas de PII en los Países Bajos deben manejar formatos de ID locales. Las herramientas globales estándar suelen pasarlos por alto:
- BSN (Burger Service Nummer): ID nacional neerlandés de 9 dígitos — requiere validación de suma de verificación
- IBAN (prefijo NL): IBAN neerlandés con su propia lógica de validación
- Código postal (postcode): Formato: 4 dígitos + espacio + 2 letras
- DigiD: Código de identidad digital del Gobierno
- Números de salud: Formatos BGZ y EP para registros de pacientes
Una herramienta genérica puede detectar el IBAN pero no la suma de verificación del BSN o el formato de código postal. Compruebe la detección del BSN antes de procesar datos de identidad nacional. No dé la cobertura por sentada.
Pasos para Organizaciones en los Países Bajos
1. Auditoría de transferencias: Listar todos los flujos de datos hacia terceros países. Revisar las CCT vigentes. Realizar TIAs para flujos clave. Documentar medidas técnicas adicionales donde una TIA señale riesgo.
2. Revisión de la vigilancia de empleados: Listar todas las herramientas de vigilancia, incluida la IA. Comprobar los registros de aprobación del comité de empresa. Confirmar que las verificaciones de finalidad existen por escrito.
3. Comprobación de cobertura de PII: Probar la detección de BSN, código postal e IBAN en sus herramientas de PII. Probar la precisión en documentos en neerlandés.
4. Exposición del sector tecnológico: Las startups deben documentar las decisiones que reduzcan el riesgo de transferencia — nube en zona UE y opciones de procesamiento local. Los proveedores con configuraciones UE-EE. UU. deben documentar sus herramientas de transferencia y el enfoque TIA.
anonym.legal procesa el texto en centros de datos Hetzner con sede en la UE (Falkenstein); el conocimiento cero se aplica al inicio de sesión, por lo que su contraseña nunca sale de su dispositivo. ¿Necesita procesamiento solo local? Nuestro producto hermano anonym.plus funciona íntegramente en su dispositivo; la aplicación Desktop de anonym.legal lee archivos en su dispositivo; la detección se ejecuta en la API alojada en la UE.
Fuentes
- AP Holandesa: Autoriteit Persoonsgegevens — VERIFIED-EXTERNAL
- AP Holandesa: Decisión de ejecución contra Uber (agosto de 2024) — VERIFIED-EXTERNAL
- CEPD: Recomendaciones 01/2020 sobre medidas complementarias — VERIFIED-EXTERNAL