Dutch AP eta Uber Isuna
2024ko abuztuan, Dutch APk Uber €290 milioi isun jarri zion. Uberrek EUko gidari-datuak AEBetako zerbitzarietara bidali zituen oinarri juridikorik gabe. Datu hauek taxi-lizentziak, delituzko egiaztapenak, osasun-erregistroak eta bidai-erregistroak zeuden.
Uberrek datuak mugitu zituen Schrems IIk EU-AEBetako Privacy Shield indargabetu ostean 2020ko uztailean. Transferentzia horiek bi urtez martxan eduki zituen. Ez Klausula Kontraktual Estandarrik. Ez 46. artikuluko tresnarik.
Isun hau EUko handiena da datu-transferentzia hauste batentzat. Inoizko GDPR isun guztien artean hirugarrena da. Transferentzia-hutsegiteek orain kostu handiak dituzte. Ez bakarrik hausteek.
Ikusi gure GDPR betetze-gida ikuspegi bizkorrerako.
APren Betearazpen Lehentasun Eremuak
Dutch APk 21.400 kexu baino gehiago jaso zituen 2023an. Hiru eremutan jartzen du arreta.
1. Lehentasuna — Langileen kontrola (kasuen %43): Herbehereetako enpresa askok AP isunak jaso dituzte langileak kontrolatzeagatik. Ezkutuko kamerak, masa-korreo egiaztapenak eta jakinarazpenik gabeko GPS jarraipenak ekintza aktibatzen dute. Herbehereetako lan-legeak GDPR gainean arau gehigarriak gehitzen ditu.
2. Lehentasuna — Mugaz gaindiko transferentziak (kasuen %31): Uber isunaren eta Irlandako DPCrekin Cloudflare-ren inguruan (2023) baterako ikerketaren ostean, APk transferentzia gainbegiratzea areagotu du. Amsterdameko teknologia-sektorea arrisku handian dago hemen. Hodeiko enpresak, fintech eta hazkuntza biziko startupen guztiak sartuta daude.
3. Lehentasuna — Marketina eta profilak (kasuen %26): Honek cookie baimena, iragarki helburua eta zuzeneko marketina estaltzen ditu. APk "interes legitimoa" ikuspegi zorrotza hartzen du. Ebidentzia argiarekin idatzizko probak eskatzen ditu.
Transferentzia Arauak Uber Ostean
Transferentzia Inpaktu Ebaluazioak (TIAak): EDPBk hirugarren herrialdeetako transferentzia bakoitzarentzat TIA bat eskatzen du. TIAk erakutsi behar du helmugan EUko legearekin babestutako babesa ematen dela. APk dio TIAk lau galdera erantzun behar dituela:
- Zeintzuk dira helmugako herrialdeko sarbide-legeak?
- Zenbateraino irits daitezke zerbitzu sekretuak?
- Zein da gobernuaren eskaerei datuen inportatzaileari buruzko aurrekarria?
- Zein bide legal dituzte datuen subjektuek?
Klausula Kontraktual Estandarrak — ez nahikoa bakarrik: SCCak bakarrik ez du 46. artikulua betetzen. TIAk gobernuaren sarbide-arriskua erakusten badu, babes gehigarriak behar dira.
APk onartzen dituen neurri tekniko gehigarriak:
- Enkriptatzea non inportatzaileak desenkriptatze-gakoetara sarbiderik ez duen
- Transferitu aurretik zuzeneko IDak kentzea, inportatzaileak datuak pertsona bati lotu ezin dezan
- Transferitu aurretik datu-murrizketa, inportatzaileak behar ez dituen eremuak kenduz
anonym.legal-en Desktop Appak fitxategiak zure gailuan irakurtzen ditu; detekzioa EUn ostatutako APIan exekutatzen da (Hetzner, Falkenstein), beraz datuak EUn geratzen dira. Kanpoko konexiorik gabeko prozesatzerako, gure anaia-produktua den anonym.plus erabat gailuan exekutatzen da. Ikusi gure segurtasun eta betetze-ikuspegiak.
Langile-Datuak eta Herbehereetako Lan Legea
APren %43ko fokua langileen kontrolan erakusten du GDPR eta Herbehereetako lan-legea nola gainjartzen diren.
Herbehereetako erakundeentzat hiru arau aplikatzen dira:
Lan-kontseiluaren onarpena: Lan-kontseilua duen enpresa batek edozein kontrol-tresna ezarri aurretik bere onarpena behar du. Honek AI tresnak, korreo-egiaztapenak eta presentzia-sistemak estaltzen ditu.
Helburuari egokia: Kontrola bere adierazitako helburuarekin bat etorri behar du. Ezkutuko kontrola ez da onartzen. Kontrol irekia aukera gutxien intrusio duen bat izan behar du.
Helburu-mugaketa: Helburu baterako bildutako giza baliabideen datuak ezin dira beste baterako erabili. Oinarri juridiko berri bat behar da.
Arau hauek hiru erregistro behar dituzte: kontseiluaren onarpena, helburu-egiaztapena eta kontrolak. Gure betetze-zerrendak hirurak estaltzen ditu.
Herbehereetako PII Detekzioa
Herbehereetako PII tresnek tokiko ID formatuak kudeatu behar dituzte. Estandar global tresnek maiz galtzen dituzte:
- BSN (Burger Service Nummer): 9 digituko Herbehereetako nazio-IDa — kontrol-zenbakiaren baliozkotzea behar du
- IBAN (NL aurrizkia): Bere baliozkotzeko logikarekin Herbehereetako IBAN
- Posta kodea (postcode): Formatua 4 digitu + zuriunea + 2 letra da
- DigiD: Gobernuaren identitate digital kodea
- Osasun-zenbakiak: Pazienteen erregistroentzako BGZ eta EP formatuak
Tresna generiko batek IBAN harrap dezake baina BSN kontrol-zenbakia edo posta-kode formatua galdu. Probatu BSN detekzioa nazio-identitate datuak prozesatu aurretik. Ez suposatu estaldura.
Herbehereetako Erakundeentzako Urratsak
1. Transferentzia-auditoria: Zerrendatu hirugarren herrialdeetan dauden datu-fluxu guztiak. Berrikusi SCCak indarrean. Exekutatu TIAk gako-fluxuetarako. Erregistratu neurri tekniko gehigarriak TIAk arriskua adierazten duenean.
2. Langileen kontrol berrikuspena: Zerrendatu kontrol-tresna guztiak, AI tresnak barne. Egiaztatu lan-kontseiluaren onarpenen erregistroak. Berretsi helburu-egiaztapenak idatziz badaudela.
3. PII estalduraren egiaztapena: Probatu BSN, posta-kodea eta IBAN detekzioa zure PII tresnetan. Probatu zehaztasuna Herbehereetako dokumentuetan.
4. Teknologia-sektoreko esposizioa: Startupek transferentzia-arriskua murrizten duten aukerak erregistratu beharko lituzkete — EUko eskualdeko hodeia eta tokiko prozesatze-aukerak. EU-AEBetako konfigurazioak dituzten hodeiko hornitzaileek beren transferentzia-tresnak eta TIA ikuspegia dokumentatu beharko lukete.
anonym.legal-ek testua EUn oinarritutako Hetzner datu-zentroetan prozesatzen du (Falkenstein); zero-ezagutza saio-hasierari aplikatzen zaio, beraz zure pasahitza ez da inoiz zure gailutik ateratzen. Tokiko prozesatze soilik behar duzu? Gure anaia-produktua den anonym.plus erabat zure gailuan exekutatzen da; anonym.legal-en Desktop Appak fitxategiak zure gailuan irakurtzen ditu; detekzioa EUn ostatutako APIan exekutatzen da.