TikToki eesseisund
Iria andmekaitseasutuse (DPC) mai 2025 trahv 530 miljonit eurot TikToki vastu Euroopa Majandusliku Ala kasutaja andmete Hiinasse edastamise eest kehtestas teostamise eesseisundi, mis ulatub välisele meediateenustele. DPC leid: TikTok rikkus GDPR artikli 46(1), edastades isikuandmeid kolmandale riigile — Hiinasse — ilma asjakohasete kaitseta. Andmeedastus oli rikkumist, mitte andmete kogumine või töötlemine, mis järgnes.
Eesseisundi ulatus: mis tahes EL isikuandmete edastus mitte-EL serverile töötlemisele — kaasarvatud töötlemine seaduslik, nõustamise-nõudeline tööriista — on andmeedastus GDPR artikli 44-49 alusel. Andmeedastus nõuab kas vastavuse otsust (Euroopa on ette näinud, et vastuvõtvat riiki andmekaitse on ohutu), Standard Contractual Clauses (lepingulise kaitses, millega vastuvõtjat siduda), Binding Corporate Rules (heakskiidetud sisemised multinatsionaalsed raamistikud), või muu artikli 46 mehhanism.
Kumulatiivne GDPR trahvad jõudsid 5,65 miljardi euroni kuni 2025. Andmeedastuse rikkumised keskmine nüüd 18 miljonit eurot teostamise tegevuse kohta (DLA Piper 2025), muutes neid ühe suurema ostetuse kategooria.
Anonüümsuse tööriista paradoks
Organisatsioon kasutades USA baasi SaaS anonüümsuse tööriista protsessi EL kliendi andmete vastamata struktuurilist GDPR probleemi. Töövoog: EL kliendi andmeid laetakse anonüümsuse tööriista USA baasi serveritele, töödeldes ja tagastuse anonüümsus. Anonüümsus andmeid salvestatakse ja kasutatakse.
Ameerikas tööriista anonüümsuse USA serverile = andmeedastus Euroopa Hiinasse TikToki kaudu. USA tööriista palverit on seevastu USA baasi serveri, kus USA valitsuse juurdepääsu võimalused (FISA, NSA, EO) kehtivad samuti.
Kui TikToki teostamise otsis andmeedastust ilma TIA ja täiendusmeetmeteta, kus Hiina valitsusele kaugemal juurdepääs andmetele, siis USA tööriista teostamise küsimus: kas USA tööriista palverit tekitab legaalse andmeedastuse riski?
Teostamise lõhele USA toolinga jaoks
Kohe pärast Schrems II (2020) teostamise prioriteedid:
- 2020-2021: Pilvelinnaservide auditaamine — organisatsioonid, kes kasutavad USA baasi AWS, Microsofti, Googlina, etc.
- 2021-2022: Third-party tooliga — anonüümsuse, DLP, personaalsuse andmetöötlemise tooliga USA baasi
- 2023-2025: Õigusperheuse teenuste jaoks — konttorite tarkvarad ja pädevusväärtusliku tarkvaraga USA baasi
Anonüümsuse tööriista kehtestamine Euroopa-USA piiri ületamine võib tekitada andmeedastuse riski, mida ei ole nõustamise seadusega aadresseeritud.
Anonüümsuse tööriista andmeedastuse audit
Organisatsioonid kasutades USA baasi anonüümsuse tööriista nõuavad:
1. TIA USA tööriista jaoks:
- Kus serverid asunevad? USA, Euroopa või muu?
- Millised USA valitsuse juurdepääsu mechanismid võivad kohaldada? (FISA, EO, subnormaalset päringut)
- Milline tööriista andmete vastuvõtjale ligipääs on andmetele? (Google näiteks teostab analüütika, kuid tal ei ole originaalse kliendi andmete "ligipääs")
2. SCCs ja täiendusmeetmed:
- Kas tööriistast andmete imporditaja on SCCs sõlminud?
- Kas SCCs on täiendatud täiendusmeetmete (krüptimine, pseudonüümsus)?
3. Andmete minimaliseerimine:
- Kas anonüümsuse tööriista nõutakse täielikke nimi, aadressi jne anonüümsuse jaoks?
- Kas saab USA palverit edastada minimaalsete andmete (nt ainult teksti)?
Kus andmeedastus riskid on erinevad
Kõrge risk:
- USA baasi SaaS tööriistade kasutamisel olenevalt täielikust kliendi andmetele (nimi, aadress, maksu, jne)
- Tööriista omab andmete ligipääsu ja võib kasutada personaalavalduse eesmärkideks
Keskmine risk:
- USA baasi tööriista, mis kasutab krüptimist, millega tööriista serveri ei oma dekrüpteerimise võtmeid
- Tööriista ei pääse andmetele, pseudonüümsus on rakendatud
Madal risk:
- Kohapeal anonüümsuse töötlemist ilma andmete edastuseta (desktop rakendus)
- Euroopa baasi tööriistade kasutamine
Anonüümsuse tööriista üleminek andmeedastuse kaitsega
Organisatsioonidele käivitavate USA baasi anonüümsuse tööriista:
1. Kohapeal andmete töötlemine:
- Desktop rakenduse kasutamine, mis töötlevad andmeid kohapeal, ilma andmete edastust USA
- Võimalus, kus tööriista säilitab andmeid kohapeal ja saadab ainult tulemused serveri
2. Euroopa baasi tööriistade otsimine:
- Euroopa baasi tööriista kasutamine, mis säilitavad andmeid Euroopa piires
- Kinnitada serveri asukoht ja andmekaitse juriidiline alus (nt Euroopa GDPR)
3. TIA ja täiendusmeetmed:
- Kui USA tööriista säilitatakse, dokumenteeri TIA
- Rakenda täiendusmeetmed (krüptimine, pseudonüümsus, andmete minimaliseerimine)
Allikad: