530 milioi euroko TikTok Isuna: GDPR Datu-Subiranotasuna

TikTok-en Epaiak Datu-Subiranotasuna Aldatu Zuen

2026rako eguneratua

2025eko maiatzean, Irlandako Datuen Babeserako Batzordeak TikTok 530 milioi eurorekin isundu zuen. Arrazoia sinplea zen. TikTok-ek EB-ko erabiltzaileen informazioa Txinara bidali zuen bermaketa egokirik gabe.

Hau inoiz egindako bigarren GDPR zigor handiena da. 1.200 milioi euroko Meta isuna bakarrik 2023koa handiagoa da. Irlandako DPC-k ere hori eman zuen - EB-ko erregistroak Facebook-en AEBetako zerbitzarietara bidaltzeagatik.

Bi kasuek eredu argi bat dute. Bermaketa egokirik gabeko mugaz gaindiko transferentziek isun handienak erakartzen dituzte. Erregulatzaileak presionatzen jarraituko dute enpresak aldatzen diren arte.

GDPR isun guztiak 5.650 milioi euro iritsi ziren 2025era arte. Betearazpena ez da gehiago atzeko planoko arriskua. Negozio egitearen kostu aktibo bat da. Ikusi gure GDPR konformitate gida ikuspegi praktikoarekin.

TikTok Auziak Zer Erabaki Zuen

Auzi hau ez zen haustea buruz. Erabiltzaile-fitxategiak nora doazen eta horiek mugaz gaindiko transferentzien oinarri juridikoa buruz zen.

TikTok-ek EB-ko erabiltzaile-fitxategiak zerbitzarietan gordetzen zituen. Txinako langileek zerbitzari horietara sar zitezkeen. GDPR 44-46 Artikuluek transferentziak mugatzen dituzte EB-ren egokitasun-erabakiarekin ez dauden herrialdeetan. Txinak ez du halako erabakirik. TikTok-ek neurri tekniko egokiak zituela esan zuen. Erregulatzaileek ezetza eman zuten.

Irakaspena sinplea da. EB-an hartzea ez da nahikoa EB-tik kanpoko langileek fitxategietara sar badaitezke. Baita nahikoa ez da herrialdearen legeak jarraitu behar dituen enpresak egokitasun-erabakirik ez duen herrialdekoa bada.

SaaS saltzaileak aukeratzen dituzunean hau garrantzitsua da. Saltzaile batek "EB-an hartzen dugu" esan dezake. Baina beren gurasoa beste nonbait badago, arrisku bera aplikatzen da. Beren laguntza-langileak EB-tik kanpotik erabiltzaile-fitxategietara sartzen badira, arrisku bera aplikatzen da. Haien bezeroak arrisku hori partekatzen dute ere. Egiaztatu gure betetze-lerrokatze zerrenda DPA bat sinatu aurretik.

GDPR Isunak: 5.650 milioi euro eta Hazten

Erregulatzaileak arauak ezartzera joan ziren betearaztera. Transferentzia-hausteak isun handienak erakartzen ditu. Ikusi nola kudeatu segurtasuna eta bermaketak.

Alemania, Suitza eta Sektore-Arauak

GDPR 44-46 Artikuluak sektore guztiei aplikatzen zaizkie. Baina industria batzuek GDPR-ren gainetik arau gehigarriak dituzte.

Alemaniako osasun-zerbitzuak: Gizarte Kode Liburuaren V bolumenak (SGB V) osasun-dokumentuak Alemaniaren kontrolpeko sistemetan mugatzen ditu. Alemaniako aseguru-etxe batek Dublingo hodei de-identifikazio tresna bat erabil dezake - hori EB-koa da. Baina tresna-jabea ez-alemaniako enpresa bada, SGB V hausten duen ikus daiteke.

Suitzako bankugintza: Bankugintza Legearen 47. Artikuluak bezero-dokumentuak kanpoko aldeekin partekatzea debekatzen du. Hori hodei-hornitzaileak barne hartzen ditu bezero-adostasunik gabe. Suitzako bankuaren bezero-fitxategiak, EB-an ostatatutako tresna batean ere, lege hori aktibatu dezake.

Alemaniako sektore publikoa: BfDI gidalerroak gobernu-dokumentuak gobernuak kudeatutako sistemetara mugatzen ditu. Merkataritza-hodei-hornitzailearen EB-ko zerbitzarietan dagoen de-identifikazio tresnak ez du estandar hau betetzen.

Irakaspena: GDPR lerrokatze hondoa da, sabaia ez. Sektore askok arau zorrotzagoak dituzte. Gure erakundeen prozesatze-ikuspenak sektorearen arabera zein arau aplikatzen diren mapatzen du.

Nork du Egokitasun-Erabakia?

GDPR-k herrialdeei elkarren arteko erabiltzaile-informazioa libreki trukatzeko aukera ematen die Europako Batzordeak babes berdina eskaintzen dutela esaten badu. Herrialde hauek sailkatzen dira:

Andorra, Argentina, Kanada (merkataritza-taldeak), Faroe Uharteak, Guernsey, Israel, Man Uhartea, Japonia, Jersey, Zelanda Berria, Hego Korea, Suitza, Erresuma Batua, Uruguai eta AEB (Datuen Pribatutasun Esparrua).

Herrialde hauek ez dira sailkatzen: Txina, India, Errusia, Brasil, Asia-Pazifikoren gehiengoa, Ekialde Ertainaren gehiengoa, Afrikaren gehiengoa.

EB-AEB Datuen Pribatutasun Esparrua indarrean dago berriro. Baina oraindik auzitegian erronkatzen ari da. Argudio juridiko berdinek Safe Harbor (Schrems I) eta Privacy Shield (Schrems II) suntsitu zituzten. Esparru hau erabiltzen duten enpresek beste ezabaketa baterako planifikatu beharko dute.

Tresna Aukeratzeko Babes Lau Maila

TikTok eta Meta kasuek SaaS tresnen ebaluaziorako sailkapen argi bat sortzen dute.

1. Maila - EB-ko hartzea: Erabiltzaile-informazioa EB-ko zerbitzarietan prozesatzen eta gordetzen da. Hau GDPR oinarrizko lerroa betetzen du kasu gehienentzat.

2. Maila - EB-ko operatzailea: Saltzailearen gurasoa EB-koa da. Ez da egokitasun-erabakiik gabeko herrialdeko legeek menpean. Honek TikTok arazoa konpontzen du. EB-ko hartzea eta Txinako-lege esposizio gurasoarekin ez da segurua.

3. Maila - Zero-knowledge diseinua: Saltzailea hackeatuta egon edo agindua lortzen badu ere, ezin ditu zure fitxategiak irakurri. Zuk gordetzen dituzu enkriptatze-gakoak. Beraiek zifrotestu bakarrik gordetzen dute. Irakurri gure zero-knowledge ikuspena.

4. Maila - Tokiko prozesatzea: Zure dokumentuak ez dira inoiz zure sistemetatik ateratzen. Prozesatzea tokiko hardwarean edo gobernuak kontrolatutako makinetan egiten da. Hau da alemaniako SGB V, suitzako banku-sekretua eta BfDI arauak guztiz betetzeko modu bakarra. Ikusi gure prezio-planak Desktop App aukeretarako.

DPIA-k TikTok-en Ondoren

GDPR 35. Artikuluak Datu-Babesen Eragin-Ebaluazioa eskatzen du arrisku handiko prozesamendu-kasuentzat. Honi DPIA deritzo. Erabiltzaile-fitxategiak hirugarren-herrialdeko prozesatzaileengana doazenean, transferentziaren eragin-ebaluazioa ere behar da.

TikTok-en ondoren, hodei de-identifikazio tresnetarako DPIA-k lau galderari erantzun behar diete.

Guraso-jurisdikzioa: Saltzailearen gurasoa CLOUD Act, Txinako zibersegurtasun-legerena bezalako legeen menpean al dago, EB-ko erabiltzaile-fitxategiak eman ditzaketenak?

Langile-sarbidea: Egokitasun-erabakiik gabeko herrialdetako langileek EB-ko erabiltzaile-fitxategietara ohiko operazioetan sartzen al dira?

Oinarri juridikoa: Zer GDPR 46. Artikuluen mekanismo estaltzen ditu transferentziak - SCC-ak, BCR-ak edo salbuespenak?

Hauste-eragina: Saltzailea hackeatuta badago edo dokumentuak ematera behartua badago, zer agertzen da?

TikTok-ek erakutsi zuen kontratuak bakarrik ez direla nahikoa. Egokitasuna aztertu behar duzu. Erantzunak dokumentatu. Arakatu gure FAQ ohizko DPIA galderetarako.

2026ko Erosketa-Galderak

DPO-ek galdera oso zehatzak egiten dituzte orain datu pertsonalen prozesatze-tresnetarako SaaS saltzaileak berrikusten dituztenean.

• Non daude zerbitzariak? (EB?)
• Non dago gurasoa? (EB? AEB? Beste batzuk?)
• EB-tik kanpoko langileek EB-ko bezero-fitxategietara sartzen al dira?
• Zer legek gidatzen du dokumentu pertsonalak lortzeko agindua?
• Saltzaileak gordetzen al ditu enkriptatze-gakoak, ala zuk?
• Ba al dago tokiko prozesatzearen aukera?

Galdera hauen erantzunak - ez DPA sinadura bakarrik - datu-subiranotasunaren benetako lerrokatze zehazten dute. Ikasi nola anonym.legal horiei guztiei erantzuteko eraiki zen gure sortzailearen adierazpenean. Baita arakatu dezakezu gure termino-glosarioa SCC-en, BCR-en eta egokitasun-erabakien definizio azkarretarako.

TikTok-en ondorengo ingurunea argia da. Erregulatzaileek mugaz gaindiko transferentziak zorrotz ikuskatzen dituzte. Isunak handiak dira. Hazten ari dira. Zure saltzaile-hautua erregulazio-erabaki bat da. Ez da soilik erabaki tekniko bat.

anonym.legal-ek EB-ko Hetzner datu-zentroak erabiltzen ditu zero-knowledge diseinuarekin. Zerbitzariak ez du inoiz zure testu-eduki arrunta ikusten. Zerbitzari-hauste osoak AES-256-GCM zifrotestua bakarrik ematen du. Tokiko soilik prozesatzea behar al duzu? Desktop App-ak zure gailuan exekutatzen da kanpoko konexiorik gabe.

Iturriak

• Irlandako DPC: TikTok 530M euroko Isun-Erabakia - EGIAZTATUA-KANPOTIK
• Wire: Subiranotasun Digitala 2025 - EGIAZTATUA-KANPOTIK
• GDPR.eu Betearazpen Jarraitzailea - EGIAZTATUA-KANPOTIK