Austria Datenschutzbehörde (DSB) on juhtiv järelevalveasutus juhtumitele, mille failides NOYB — None of Your Business — privaatsuse advokaadiorganisatsioon, mille asutaja on Max Schrems. NOYB on esitanud üle 1000 strateegilise GDPR kaebuse alates 2018. aastast, ja DSB on käsitlenud neist 422-d aastatel 2022-2024. DSB teostamise mõistmine tähendab strateegilise kohtulahendi mõistmist, mis on muutunud Euroopa andmeülekande seadust kaks korda.
NOYB ja DSB: Strateegiline teostamismudel
Schrems I (2015): Max Schrems' kaebused Facebook'i Euroopa-USA andmeedastuse kohta lõpetasid Safe Harbor raamistiku, mida kasutasid üle 4000 ettevõtte.
Schrems II (2020): Schrems' järgnev väljakutse lõpetas Euroopa-USA Privacy Shield raamistiku, mis mõjutas üle 5000 ettevõtte ja käivitas kiirtoituse läbirääkimised, mille tulemuseks oli praegune Euroopa-USA andmekaitsepakt (2023).
Oodatav Schrems III (2025-2026): NOYB on esitanud väljakutseid DPF vastavus otsusele, väites, et USA FISA jaotis 702 jääb GDPR-iga ühildumatuks. CJEU viide oodatakse.
78% DSB jõustamisjuhtumites on kaasatud andmeülekanded või kolmandate osapoolte integratsioonid — selle edastus-keskne fookus on Austria teostamise määrav tunnus.
DSB Google Analytics otsus
DSB jaanuar 2022. aasta Google Analytics otsus kehtestas mustri kõigile järgnevatele teostamise juhtumitele:
- IP aadressid on isikuandmed. Isegi lühendatud IP-d koos seansi andmetega võimaldavad Google'i andmestikus ümber identifitseerimist.
- Google teostab vastuvõtjat lähedalt. Google Analyticsi konfiguratsiooni juhtmise kaudu Google teostab tuvastamist isikute analüütika eesmärgil — laiendatud andmete vastuvõtt isikute analüütika jaoks.
- USA õigus nõudab juurdepääsu andmetele. FISA jaotis 702 võimaldab USA luurehaldusel nõuda andmete ligipääsu globaalsetele serveritele ilma päringu-konkreetse õiguslikult aluseta.
DSB otsus: isegi Standard Contractual Clauses (SCCs) ja privaatsuse varjundid ei ole piisavad, kui USA õigus võimaldab valitsuse laiem ligipääs andmetele, kui Euroopa andmekaitse vajab.
Austria andmeülekande praktika
Austria organisatsioonidele, mis edastavad andmeid USA-sse:
1. Edastamise mõjuanalüüs (TIA):
- Dokumenteeri USA valitsuse juurdepääsu võimalused (FISA, NSA, FBI)
- Hindama USA õiguslikud vahendid andmesubjektile (vähe, kuna USA ei tunnusta GDPR-i)
- SCCs ei ole piisavad — peate lisama tehislikud meetmed (näiteks krüptimine, pseudonüümsus)
2. Standardiseeritud lepingulised klauslid (SCCs):
- Implementeerida koos täiendavate tech meetmete/garantiide
- Regulaarselt üle vaadata USA õiguslike muudatuste suhtes
3. Andmete minimaliseerimine:
- Edasta USA-sse ainult andmeid, mis on täielikult vajalikud
- Säilitada USA-st enne edastamist võimalikult palju andmeid
Allikad: