DSB Itävalta: Schrems ja tiedonsiirrot
Itävallan Datenschutzbehörde (DSB) on NOYB:n kotimaan valvontaviranomainen. NOYB tulee sanoista None of Your Business. Max Schrems perusti järjestön. Se on tehnyt yli 1 000 GDPR-kantelua vuodesta 2018. DSB käsitteli 422 näistä tapauksista vuosina 2022–2024.
Tällä historialla on merkitystä. DSB on kahden oikeudenkäynnin keskipisteessä, jotka ovat jo muovanneet EU:n siirtosääntelyä.
NOYB ja DSB: Kaava toistuu
Schrems I (2015): Schrems teki kantelun Facebookin EU–USA-datavirroista. EU-tuomioistuin kaatoi Safe Harbor -järjestelyn. Yli 4 000 yritystä tukeutui silloin tähän kehykseen.
Schrems II (2020): Uusi haaste kohdistui Privacy Shieldiin. Yli 5 000 yritystä luotti siihen. Sen kaatuminen pakotti neuvottelemaan uudelleen. Tuloksena syntyi EU:n ja USA:n välinen tietosuojakehys (DPF). DPF tuli voimaan 2023.
Odotettu Schrems III (2025–2026): NOYB on riitauttanut DPF-riittävyyspäätöksen. Perusteena: FISA Section 702 on edelleen ristiriidassa GDPR:n kanssa. EU-tuomioistuimelle tehty ennakkoratkaisupyyntö on odotettavissa.
78 % DSB-tapauksista koskee rajat ylittäviä siirtoja tai kolmannen osapuolen työkaluja. Tämä painopiste erottaa itävaltalaiset valvojat muista EU-elimistä.
DSB:n Google Analytics -päätös
DSB:n tammikuun 2022 Google Analytics -päätös asetti standardin siirtotapauksille.
Päätöksessä esitettiin kolme keskeistä johtopäätöstä:
- IP-osoitteet ovat henkilötietoja. Jopa lyhennetyt IP-osoitteet voivat mahdollistaa uudelleentunnistamisen Googlen järjestelmissä. Istuntotietueet pahentavat tätä.
- Yhdysvaltalaisten toimittajien pääsy on siirto. Kun amerikkalaiset insinöörit voivat käyttää EU-käyttäjätietoja, tämä pääsy on GDPR:n mukainen siirto. Tämä koskee tukea, ylläpitoa ja tuomioistuinmääräyksiä.
- SCC:t ilman TIA:ta eivät riitä. Vakiosopimuslausekkeet edellyttävät siirtovaikutusarviointia. TIA:n on osoitettava, etteivät Yhdysvaltain tiedustelulait kumoa SCC-suojia.
DSB piti itävaltalaista toimijaa vastuullisena — ei Googlea. Toimija oli rekisterinpitäjä. Tämä koskee kaikkia EU-yrityksiä, jotka integroivat kolmansien osapuolten skriptejä. Rekisterinpitäjän velvollisuuksista on lisätietoja GDPR-vaatimustenmukaisuusoppaassamme.
Täydentävät tekniset toimenpiteet
Schrems II:n jälkeen EDPB julkaisi ohjeistuksen täydentävistä teknisistä toimenpiteistä. Näitä sovelletaan, kun SCC:t yksin eivät riitä. DSB valvoo tätä ohjeistusta.
DSB on hyväksynyt kolme lähestymistapaa:
Salaus EU:ssa säilytettävillä avaimilla. Salaa data ennen kuin se poistuu EU:sta. Säilytä salauksen purkuavaimet EU:ssa. Jos yhdysvaltalaiset viranomaiset määräävät toimittajan luovuttamaan tiedostoja, he saavat salatekstiä, jota he eivät pysty lukemaan.
Pseudonymisaatio ennen siirtoa. Lähetä vain pseudonyymisiä tunnuksia rajojen yli. Säilytä uudelleentunnistusavain EU:ssa. Siirretyissä tiedostoissa ei ole suoria henkilötietoja.
Paikallinen käsittely. Suorita kaikki käsittely EU:ssa sijaitsevilla palvelimilla. Siirrä vain koostettuja, aidosti anonyymejä tilastoja. Henkilötiedot eivät ylitä rajoja lainkaan.
DSB on vahvistanut tämän kannan. Organisaatioiden, jotka käyttävät yhdysvaltalaisia SaaS-toimittajia EU-henkilötiedoille, on sovellettava vähintään yhtä näistä lähestymistavoista. Tai niiden on osoitettava, että siirretty sisältö on aidosti anonyymiä.
Schrems III -riski
Yritykset, jotka tukeutuvat pelkästään DPF:ään, ovat selkeässä riskissä. Jos NOYB:n EU-tuomioistuimessa tekemä haaste onnistuu, näiden yritysten on löydettävä nopeasti uusia siirtovälineitä. Juuri näin kävi vuosina 2015 ja 2020.
Organisaatiot, joilla on täydentävät tekniset toimenpiteet, ovat suojassa. Jos sisältö on aidosti anonyymia, mitään GDPR:n mukaista siirtoa ei tapahdu. DPF:n kaatuminen ei muuta heidän tilannettaan.
Itävaltalaisissa toiminnoissa: analytiikkatyökalut (Google Analytics, Mixpanel, Amplitude) kaikki luovat DSB-altistuksen. Sama koskee CRM-järjestelmiä, joilla on amerikkalaisia emoyhtiöitä (Salesforce, HubSpot). Pilvipalvelualustat, joissa amerikkalaisilla työntekijöillä on järjestelmänvalvojan pääsy, kantavat saman riskin.
Ratkaisu on sama jokaisessa tapauksessa. Varmista, että henkilötiedot ovat aidosti anonyymejä ennen kuin ne saavuttavat toimittajan. Tai salaa ne avaimilla, jotka pelkästään EU:ssa sijaitseva rekisterinpitäjä hallitsee. Tietoturva- ja vaatimustenmukaisuuskatsauksemme selittää, miten zero-knowledge-suunnittelu poistaa siirto-ongelman lähteestä.