DSB Austria: Schrems & Datuen Transferentziak
Austriako Datenschutzbehorde (DSB) NOYBren etxeko arautzailea da. NOYB esan nahi du None of Your Business. Max Schrems-ek sortu zuen taldea. 2018tik 1.000 GDPR salaketa baino gehiago aurkeztu ditu. DSBk 422 kasu horiek kudeatu zituen 2022 eta 2024 artean.
Istorio horrek garrantzia du. DSBk EBko transferentzia-legea erabat aldatu duten bi epai-borroken erdian dago.
NOYB eta DSBa: Eredu Bat
Schrems I (2015): Schrems-ek Facebook-en EU-AEB fluxuei buruzko salaketa aurkeztu zuen. EJAk Safe Harbor baliogabetu zuen. Orduan 4.000 enpresa baino gehiagok erabiltzen zuten esparru hori.
Schrems II (2020): Bigarren erronka batek Privacy Shield jo zuen. 5.000 enpresa baino gehiagok zuten haren mende. Horren ondorioak elkarrizketa berriak behartu zituen. Emaitza EU-AEBetako Datu Pribatutasun Esparrua (DPF) izan zen. DPFa 2023an jarri zen indarrean.
Aurreikusitako Schrems III (2025-2026): NOYBk DPF egokitasun-erabakiari erronka jarri dio. Argudioa: FISA 702. atalak GDPRrekin kontraesanean jarraitzen du. EJAren erreferentzia espero da.
DSB kasuen %78k mugaz gaindiko transferentziak edo hirugarrenen tresnak ditu helburu. Joera horrek Austriako arautzaileak beste EBko organoengandik bereizten ditu.
DSBren Google Analytics Epaia
DSBren 2022ko urtarrileko Google Analytics erabakiak transferentzia-kasuen txantiloia ezarri zuen.
Hiru aurkikuntza garrantzitsu atera ziren:
- IP helbideak datu pertsonalak dira. Moztutako IPek ere Google-ren sistemen barnean berridentifikatzea ahalbide dezakete. Saio-erregistroek arazo hori areagotzen dute.
- AEBetako saltzaileen sarbidea transferentzia bat da. AEBetako ingeniariek EBko erabiltzaile-erregistroetara sarbidea dutenean, sarbide hori GDPRpeko transferentzia bat da. Horrek laguntza, mantentze-lana eta aginduzko ekintzak barne hartzen ditu.
- TIA gabeko SCCak ez dira nahiko. Kontratu-klausula estandarrek Transferentzia Eragin Ebaluazioa behar dute. TIAk egiaztatu behar du AEBetako zelatze-legeak ez dituztela SCCaren babesak baliogabetzen.
DSBak Austriako gune-operatzailea erantzule jo zuen — ez Google. Operatzailea kontrolatzailea zen. Hori hirugarren scripen bat txertatzen duen EBko negozio guztiei aplikatzen zaie. Ikusi gure GDPR betetze-gida kontrolatzailearen betebeharen inguruan.
Neurri Tekniko Gehigarriak
Schrems II ostean, EDPBk neurri tekniko gehigarriei buruzko gida argitaratu zuen. Hauek aplikatzen dira SCCak bakarrik ez datozenean. DSBk gida hori betearazten du.
Hiru ikuspegia gainditzen du DSBren azterketa:
EBn gordeta dauden gakoekin enkriptatzea. Erregistroak EBtik atera aurretik enkriptatu. Desenkriptazio-gakoak EBren esku utzi. AEBetako agintariek saltzaileari fitxategiak emateko agintzen badiote, ezin irakurri daitezkeen zifra-testua jasotzen dute.
Transferentzia aurretiko pseudonimizazioa. Mugetatik zehar token pseudonimizatuak bakarrik bidali. Berridentifikazio-gakoa EBren barnean gorde. Transferitutako fitxategiek ez dute zuzeneko datu pertsonalik.
Tokiko prozesatzea. Prozesatze guztia EBn ostatatutako zerbitzarietan egin. Soilik agregatu eta egiaz anonimoak diren estatistikak transferitu. Ez dago datu pertsonal erregistrorik mugak gurutzatzen.
DSBk jarrera hori berretsi du. AEBetako SaaS saltzaileak EBko datu pertsonaletarako erabiltzen dituzten taldeek ikuspegi horietako bat gutxienez aplikatu behar dute. Edo egiaztatu behar dute transferitutako edukia egiaz anonimoa dela.
Schrems III Arriskua
DPFetan soilik oinarritzen diren enpresei arrisku garbia dagokio. NOYBren EJAren aurkako erronkak arrakastatzen badu, enpresa horiek transferentzia tresna berriak azkar aurkitu behar izango dituzte. Hori da 2015ean eta 2020an gertatu zena.
Neurri tekniko gehigarriak erabiltzen dituzten taldeak babestuta daude. Edukia egiaz anonimoa bada, GDPRpeko transferentziarik ez da gertatzen. DPF baten erorketa ezer aldatzen ez zaie.
Austriako eragiketarako: analitika tresnek (Google Analytics, Mixpanel, Amplitude) DSB esposizioa sortzen dute. AEBetako enpresa nagusia duten CRM sistemek ere (Salesforce, HubSpot). AEBetako langileak admin sarbidea duten cloud plataformek arrisku bera dute.
Konponbidea kasu guztietan berdina da. Ziurtatu datu pertsonal erregistroak saltzaileengana iritsi aurretik egiaz anonimoak direla. Edo enkriptatu EBko kontrolatzaileak bakarrik dauzkan gakoekin. Gure segurtasun eta betetze-ikuspegiak azaltzen du zero-knowledge diseinuak transferentzia-arazoa nola kentzen duen bere oinarrian.