Zergatik Irlandak EUko Betearazpena Gidatzen Duen
Irlandako Data Protection Commission (DPC) EUko teknologia-enpresa handi gehienentzako agintaritza nagusia da. Hau ez da kasualitatea.
Irlandako zerga-tasa baxuak Apple, Google, Meta, LinkedIn eta TikTok erakarri zituen. Guztiek EUko bulegorik nagusiena bertan ezarri zuten.
GDPR 60. artikuluak DPC enpresa hauentzako agintaritza nagusi bihurtzen du. Hiru ondorio dator arau honetatik.
Lehenik, Facebooki buruzko kexa Alemanian Irlandako DPCra doa, ez Alemaniako BfDIra. Bigarrenik, DPCk beste EUko organoek lankidetzan aritzen dira mugaz gaindiko kasuetan. Hirugarrenik, DPCren ebazpenak Metaren aurka EU osoan aplikatzen da.
Emaitza argia da. DPCk isun balio gehiago eman du beste EUko organo guztiak batera baino. Ikusi gure GDPR betetze-ikuspegiak honek saltzaile-erabakiak nola moldatzen dituen.
Hiru Isun 2024-2025 Definitzen Dutenak
TikToken aurka €530M (2025eko maiatza): Txinako ingeniariek EUko erabiltzaileen erregistroetara sartu ziren. Honek GDPR 44-46. artikuluak hautsi zituen. Arau hauek EUko egokitasun-ebazpenik gabeko herrialdetara transferentziak mugatzen dituzte. Txinak ez du bat ere. TikTokek kontrol egokiak zituela adierazi zuen. DPCk ez zuela esan zuen.
LinkedInen aurka €310M (2024ko urria): LinkedInek jokabide-analisian "interes legitimoa" erabili zuen. DPCk hori baliozkoa ez dela erabaki zuen. Prozesatzea ez zen adierazitako helburuaren behar. Oreka-probak ez zuen LinkedIn aldeko.
Metaren aurka €251M (2024ko azaroa): 2018ko Facebook haustea ez zen DPCri garaiz jakinarazi. DPCk ere aurkitu zuen auditoria-erregistro eskasek ezinezkoa egiten zuela esposizioa neurtzea.
Hirurok 2023ko maiatzeko €1,2Bko Meta isunarekin elkartzen ziren. Isun hori ere DPCkoa zen, legez kanpoko EU-AEBetako transferentziengatik. Inoiz emandako GDPR zigorrik handiena izaten jarraitzen du.
DPCk 8.500 mugaz gaindiko kasu baino gehiago kudeatzen zituen 2024an. Arakatu gure segurtasun eta betetze orria zero-ezagutza diseinuak hutsegiteen nola jorratzen dituen ikusteko.
Isun Bakoitzak Zer Agerian Uzten Duen
Mugaz Gaindiko Sarbide Hutsegiteak
Hiru isunak oinarrizko arazo bat partekatzen dute. Erregistro pertsonalak EUko pribatutasun-araurik gabeko herrialdetako langileentzako irekita zeuden.
TikToken isuna zuzena zen. EUko erabiltzaileen artxiboak adierazitako kontrolen arren Txinako ingeniarientzako iritsi ziren.
Saltzaile-hautaketan esan nahi duena: Galdetu ea EUko ingeniariek EUn ostatatutako erregistroetara sar daitezkeen lana egitean. Saltzaile batek Dublinen ostatu dezake baina oraindik EUko artxiboak AEBetako laguntza-langilearen bidez esposatu ditzake. EUko bizilekua bakarrik ez da nahikoa. Gure entitate-prozesatze gidak erakusten du sarbide-kontrolak GDPR 46. artikulura nola mapeatzen diren.
Oinarri Juridikoko Hutsegiteak
LinkedInen isuna ez zen hauste bati buruz. LinkedInek bere prozesatzea nola justifikatu zuen buruzkoa zen.
"Interes legitimoa" ez da eskubide orokorra. Kontrolatzaileek benetako oreka-proba dokumentatu behar dute. Proba horrek erakutsi behar du beren interesa erabiltzailearen eskubideen gainetik dagoen. Gure betetze-orriak estaltzen du saltzaileen oinarri juridikoko aldarrikapenak nola berrikusteko.
Erregistratzeko eta Jakinarazpenaren Hutsegiteak
Metaren €251Mko isunak gako-aurkikuntza bat sartu zuen. Auditoria-erregistro eskasek hauste-esparrua neurtzea ezinezkoa egin zuten.
GDPR 33. artikuluak 72 orduko hauste-jakinarazpena eskatzen du. Jakinarazpen horrek kaltetutako erregistroen esparrua sartu behar du. Neurtu ezin duzun esparrua ezin duzu jakinarazi.
Galdetu prospektiboko saltzaileei beren auditoria-erregistroaren egiturari buruz. Saltzaile batek ezin badu "zein erregistro esposatu ziren?" intzidenteen ondoren erantzun, 33(3)(b) artikulua huts egiten dute.
DPC Kasuen Arteko Eredua
Irakurri lau DPC isun nagusi guztietan eta eredu bat agertzen da. Erregulatzaileek saltzaile-ingeniariek erabiltzaile-edukia ikusi dezaketen diseinuen aurka jokatzen dute. Isun nagusi bakoitzak erregistro pertsonaletarako kontrol txarreko sarbidea dakar.
Zero-ezagutza diseinuak kasu bakoitzeko oinarrizko kezka jorratzen du. Erabiltzaile-edukia enkriptatuta dago. Saltzaileak ez du desenkriptatze-gakoak.
TikTok eta Meta transferentzia kasuetarako, EUkoak ez diren ingeniariek zerbitzarira iristen dira baina soilik zifratzea ikusten dute. Ez da erregistro irakurgarririk esposatzen. Meta hauste kasurako, zerbitzari-hauste osoak ez du erabilgarriena eskuratzen. Hauste-esparrua txikitzen da. LinkedInen kasurako, testu arrunta inoiz ikusten ez duen saltzaile batek ezin du jokabide-analisia exekutatu horretan.
Hau da DPC ekintza bakoitzaren erantzun zuzena. Ikusi gure segurtasun-ikuspegiak xehetasunetarako.
Egoitza Nagusi Izateak Esan Nahi Duena
Enpresa batzuek beren EUko egitura bideratzen dute zein DPAk jurisdikzioa duen kontrolatzeko. DPCren ikuspegia garrantzitsua da hemen.
"Egoitza nagusia" ez da enpresa-helbidea bakarrik. Zentraleko EUko kudeaketa non dagoen da. Kontrolatzaileentzat, prozesatze-helburuei buruzko erabakiak non hartzen diren da.
Londresko pribatutasun-taldea duen enpresak ezin du EUko egoitza nagusirik eduki. Estatu kide bakoitzeko DPA tokiko kexuetarako agintaritza baiezta dezake.
Saltzaileen Berrikuspenerako Galderak
Erabilera hauek erabiltzaile hauen erregistro pertsonalak kudeatzen dituzten SaaS saltzaileak ebaluatzean erabili.
Jurisdikzioa eta sarbidea:
- Non dago saltzailearen EUko egoitza nagusia?
- EUkoak ez diren langileek lan arruntean EUko erabiltzaileen erregistroetara sar daitezke?
- Saltzailearen gurasoa CLOUD Act edo Txinako segurtasun-legearen mende al dago?
Diseinu teknikoa:
- EUko erabiltzaile-edukia EUn ostatutako zerbitzarietan geratzen al da?
- Saltzaileak enkriptatze-gakoak edukitzen al ditu, edo bezeroak?
- Auditoria-erregistroak hauste-esparrua neurtzeko nahikoa zehatzak al dira?
Transferentzia-erregistroak:
- Zein GDPR 46. artikuluko mekanismok estaltzen ditu EU-AEBetako fluxuak?
- Saltzaileak Transferentzia Inpaktu Ebaluazioa egin al du?
- Zein neurri tekniko gehigarri daude?
DPC betearazpena puntu batean koherentea da. Pribatutasun-taldeak eta DPOak dituzten enpresek ere isun handiak jasotzen dituzte beren diseinu teknikoa beren aldarrikapenak ez datozenean bat. Ikusi gure kasu-azterlanak eta FAQ gehiago jakiteko.
anonym.legal EUn oinarritutako Hetzner zerbitzariak erabiltzen ditu zero-ezagutza diseinuarekin. Zerbitzariek soilik AES-256-GCM zifratzea dute. Hauste osoak ez du erregistro irakurgarririk esposatzen. Desktop Appak eduki guztia gailuan kanpoko loturik gabe prozesatzen du.