Anonimizazio Tresna GDPR: TikToken Isuna Azalduta
TikToken Aurrekaria
2025eko maiatzean, Irlandako Datu Babeserako Batzordeak TikToki 530 milioi euroko isuna ezarri zion. TikTokek EBko erabiltzaile-informazioa Txinara bidali zuen. Bermeen falta zeukan.
Puntu gakoa zehatza da. Urraketa PII bera esportatzea zen. Ez bilketa. Ez Txinan gertatu zena. EBtik kanpoko zerbitzari batera EBko erregistroak bidaltzeak 46(1). artikulua urratu zuen.
GDPR 44-49. artikuluak EBko erregistroen mugaz gaindiko mugikortasun orori aplikatzen zaie. Mugikortasun bakoitzak oinarri juridiko bat behar du. Aukera arruntak:
- Egokitasun-erabakia (EBk hartzaile herrialdearen legeak onartzen ditu)
- Hartzailea lotzen duten Kontratu-Klausula Estandarrak
- Multinazional handientzako Korporazio-Arau Lotesleak
-
- artikuluko beste mekanismo bat
GDPR isunak 5.650 M euros-era iritsi ziren 2025ean zehar. Mugaz gaindiko urraketek betearazpen-ekintza bakoitzeko batez beste 18 milioi euro dituzte (DLA Piper 2025). GDPR kategoria kostotsuenetariko bat dira.
Anonimizazio Tresnaren Arazoa
EBko enpresa askok AEBetako tresnak erabiltzen dituzte edukietatik PII kentzeko. Segurua dirudite. EBko bezero-edukia kargatu. Irteera garbia jaso. EBn gorde.
Baina informazio pertsonal gordina lehenengo AEBetako zerbitzari batetik igaro zen. Igaro hori 44-49. artikuluen pean esportatzat hartzen da. Xede ona ez da lege-proba aldatzen. PII ondoren kentzeak aurretiko mugikortasuna ez du desegiten. Esportazioa jada gertatu zen.
Irlandako DPCren TikTok logika hemen aplikatzen da. Urraketa EBko erabiltzaile-erregistroak EBtik kanpoko zerbitzari batera eramatea da. AEBetako zerbitzari batean EBko PII jasotzen duen AEBetako tresna batek esportazio bat jaso du. SCCak, egokitasun-erabakia edo BCRak behar ditu -- mugaz gaindiko edozein mugikortasun bezala.
Erakundeek askotan hau galtzen dute. Anonimizazio-emaitzak esportazioa barkeatzen duela uste dute. Ez du. Lege-analisia EBtik atera zenaren arabera ibiltzen da, ez itzuli zenaren arabera.
Ezagutza-Zeroko Konponketa
Konponketa arkitekturan dago. Informazio pertsonala inoiz jasotzen ez duen tresna batek ezin du mugaz gaindiko urraketa eragin.
Horrelako tresna batek PII detekzioa lokalean exekutatzen du, erabiltzailearen arakatzailean edo aplikazio lokalean. Bere zerbitzariak irteera garbia soilik ikusten du -- benetako izenak, IDak eta kontaktu-xehetasunak ordezkatzen dituzten tokenak. anonym.legal ez dabil horrela: bere detekzioa EBn ostatatutako APIan exekutatzen da (Hetzner, Falkenstein), beraz testua EBn geratzen da, baina zerbitzarira iristen da.
GDPRren pean, informazio pertsonalik gabeko irteera ez dago esportazio-arauei lotuta. EBtik ez da eduki errealak atera.
Bereizketa hau 30. artikuluko erregistroetarako garrantzitsua da. Ezagutza-zeroko EBko tresna baterako ROPA sarrerak ez du mugaz gaindiko mugikortasunik erregistratzen. EBko PII gordinak jasotzen dituen AEBetako tresna baterako ROPA sarrerak esportazioa erregistratzen du. Sarrera horrek argi dokumentatutako oinarri juridiko bat behar du.
Gure GDPR betetze gidak ROPAren sarrerak zer barne hartu behar duen estaltzen du. Gure segurtasun betetze ikuspegiak horiek onartzen dituzten kontrol teknikoak azaltzen ditu. Ikusi ere gure anonimizazio koherentzia gida tresnen dokumentazio-aholkuetarako.