Alankomaiden AP ja Uberin ennakkotapaus
Alankomaiden Autoriteit Persoonsgegevens (AP) loi EU:n merkittävimmän tietosiirtojen valvontatapahtuman elokuussa 2024: 290 miljoonan euron sakon Uber Technologiesille Euroopan kuljettajien henkilötietojen luvattomasta siirrosta Yhdysvaltojen palvelimille.
Uberin valvontatoimiin liittyi:
- Eurooppalaisten kuljettajien tiedot (taksiluvat, rikostaustatarkastukset, lääkärintodistukset, matkustushistoriat) tallennettuna Yhdysvalloissa sijaitseville palvelimille
- Tietosiirto sen jälkeen, kun EU-Yhdysvallat Privacy Shield kumottiin Schrems II:ssa (heinäkuu 2020)
- Siirtojen jatkaminen ilman Standard Contractual Clauses -sopimusten tai muiden GDPR:n artiklan 46 suojatoimien toteuttamista noin kahden vuoden ajan Schrems II:n jälkeen
290 miljoonan euron sakko on EU:n suurin yksittäinen sakko tietosiirtorikkomuksista ja kolmanneksi suurin GDPR-sakko kokonaisuudessaan. Se osoittaa, että rajat ylittävät siirtorikkomukset — eivät vain tietoturvaloukkaukset — aiheuttavat katastrofaalisia taloudellisia seurauksia.
Alankomaiden AP:n valvontaprioriteettirakenne
Alankomaiden AP sai yli 21 400 GDPR-valitusta vuonna 2023, ja se jakoi valvontaresursseja julkaistun prioriteettimatriisin mukaan. Kolme prioriteettikategoriaa:
Prioriteetti 1 — Työntekijöiden valvonta (43 % valvontatapauksista): Alankomaissa pääkonttoriaan pitävät yritykset ovat saaneet toistuvasti AP:n valvontaa työntekijöiden seurannasta: salainen valvonta, suhteettoman sähköpostivalvonnan ja geolokaatioseurannan ilman riittävää ilmoitusta. Alankomaiden työlaki (Arbeidstijdenwet) tarjoaa lisäsuojaa GDPR:n lisäksi.
Prioriteetti 2 — Rajat ylittävät tietosiirrot (31 % valvontatapauksista): Uberin ja Alankomaiden AP:n yhteistyö Irish DPC:n kanssa Cloudflaren osalta (2023) on lisännyt AP:n keskittymistä tietosiirtojen vaatimustenmukaisuuteen. Amsterdamin teknologiakeskittymä — erityisesti pilvipalvelut, fintech ja skaalausyritykset — luo suuren altistuksen organisaatioille, jotka siirtävät tietoja EU:n ulkopuolisiin maihin.
Prioriteetti 3 — Markkinointi ja käyttäytymisprofilointi (26 % valvontatapauksista): Evästeiden suostumus, käyttäytymismainonta ja suoramarkkinoinnin vaatimustenmukaisuus. Alankomaiden AP:n ohjeet "legitiimistä kiinnostuksesta" markkinoinnissa ovat tiukempia kuin joissakin EU:n vastaavissa — AP vaatii asiakirjoitettua tasapainotustestausta, jossa on erityisiä todisteita siitä, että legitiimi etu ylittää rekisteröityjen oikeudet.
Rajat ylittävien siirtojen vaatimukset Uberin jälkeen
Uberin valvontatoimi asettaa käytännön vaatimuksia organisaatioille, jotka siirtävät henkilötietoja Alankomaista:
Siirron vaikutusten arvioinnit (TIAs): Schrems II:n jälkeen EDPB vaatii TIAs:ia kaikille siirroille kolmansille maille arvioidakseen, ovatko kohdemaan oikeudelliset suojat "oleellisesti vastaavia" EU:n suojille. Alankomaiden AP:n ohjeet Uberin jälkeen tekevät selväksi, että TIAs:ien on arvioitava:
- Kohdemaan hallituksen pääsylait
- Tiedustelupalveluiden kyvyt kohdemaan
- Hallituksen pyyntöjen historia tietojen tuojalle
- Saatavilla olevat oikeudelliset keinot rekisteröidyille
Standard Contractual Clauses (SCCs) — eivät riitä yksin: AP:n Uberin valvontamuistio selventää, että SCC:t yksin eivät täytä artiklaa 46, jos TIA paljastaa, että kohdemaan laki mahdollistaa hallituksen pääsyn siirrettyihin tietoihin. Lisätoimenpiteitä vaaditaan, jos SCC:t ovat riittämättömiä.
Alankomaiden AP:n hyväksymät lisätekniset toimenpiteet:
- Salaus, jos tietojen tuojalla ei ole purkuavaimia
- Pseudonymisointi ennen siirtoa (tunnisteen korvaaminen), jos uudelleen tunnistaminen ei ole mahdollista tietojen tuojan toimesta
- Tietojen minimointi ennen siirtoa (poistamalla tuojan tarvitsemattomat tietoluokat)
Offline-työpöytäsovelluksen arkkitehtuuri — joka käsittelee kaikki tiedot paikallisesti, eikä koskaan siirrä palvelimille — poistaa rajat ylittävän siirron kysymyksen kokonaan kyseisestä käsittelytoiminnasta.
Työntekijätiedot ja Alankomaiden työlaki
Alankomaiden AP:n 43 % työntekijöiden valvontaan liittyvä osuus heijastaa GDPR:n ja Alankomaiden työlain (Wet bescherming persoonsgegevens arbeidsverhoudingen — työsuhteiden tietosuojalaki) vuorovaikutusta.
Keskeiset Alankomaiden vaatimukset työntekijätiedoille:
- Työntekijäneuvoston kuuleminen: Alankomaiden organisaatioiden, joilla on työntekijäneuvosto (Ondernemingsraad), on kuultava työntekijäneuvostoa ennen minkään työntekijöiden valvontajärjestelmän käyttöönottoa. Tämä sisältää AI-suorituskyvyn valvonnan, viestintävalvonnan ja läsnäolotiedot.
- Suhteellisuusarviointi: Työntekijöiden valvonnan on oltava tiukasti suhteellista ilmoitettuun tarkoitukseen. Salainen valvonta on yleisesti kielletty; avoimen valvonnan on oltava vähiten häiritsevä menetelmä.
- Käsittelyn rajoittaminen: Työntekijätietoja, jotka on kerätty yhteen HR-tarkoitukseen, ei voida käyttää toiseen HR-tarkoitukseen ilman uutta oikeudellista perustaa.
Alankomaissa pääkonttoriaan pitävien tai Alankomaissa työskentelevien organisaatioiden osalta nämä vaatimukset luovat erityisiä teknisiä asiakirjavaatimuksia: työntekijäneuvoston kuulemisasiakirja, suhteellisuusarviointiasiakirja ja käsittelyn rajoittamisen valvontakontrollit.
Alankomaiden erityiset PII-tunnistukset
Alankomaissa käytettävien PII-työkalujen osalta tarvitaan Alankomaiden erityinen entiteettitunnistus:
- Burger Service Nummer (BSN): Alankomaiden kansallinen henkilötunnus (9 numeroa) — käytetään verotuksessa, terveydenhuollossa, sosiaalipalveluissa
- IBAN Alankomaat (NL-etuliite): Alankomaiden IBAN-muoto, jossa on erityinen validointi
- Alankomaiden postinumerot (postcode): Muoto: 4 numeroa + välilyönti + 2 kirjainta
- Alankomaiden DigiD: Hallituksen digitaalisen henkilöllisyysjärjestelmän tunnus
- Alankomaiden terveydenhuollon numerot: BGZ/EP-tunnusmuodot sähköisille potilastiedoille
Globaalit PII-työkalut voivat tunnistaa yleisiä IBAN-muotoja, mutta ne eivät välttämättä validoi Alankomaiden BSN-tarkistusta tai tunnista Alankomaiden postinumeromuotoa. Alankomaiden kansallisten henkilötietojen käsittelyyn osallistuvien organisaatioiden tulisi varmistaa BSN-tunnistuksen kattavuus.
Vaatimustenmukaisuuslähestymistapa Alankomaiden organisaatioille
Alankomaissa pääkonttoriaan pitävien organisaatioiden osalta:
1. Rajat ylittävän siirron auditointi:
- Kartoitakaa kaikki tietovirrat Alankomaista kolmansille maille
- Tunnistakaa kaikki käytössä olevat SCC:t ja niiden kattavuus
- Suorittakaa tai päivittäkää TIAs merkittävistä siirtovirroista
- Dokumentoikaa lisätekniset toimenpiteet siirroille, joissa TIA paljastaa riskin
2. Työntekijöiden valvonnan tarkistus:
- Inventoikaa kaikki työntekijöiden valvontajärjestelmät (mukaan lukien AI-työkalut)
- Varmistakaa työntekijäneuvoston kuulemisasiakirjat
- Vahvistakaa suhteellisuusarviointien dokumentointi
3. Alankomaiden erityinen PII-kattavuus:
- Varmistakaa BSN-tunnistus käytössä olevissa PII-työkaluissa
- Varmistakaa Alankomaiden postinumeron ja IBANin tunnistus
- Testatkaa Alankomaiden kielen NER-tarkkuus Alankomaankielisissä asiakirjoissa
4. Amsterdamin teknologiakeskuksen altistus:
- Aloitteille ja skaalausyrityksille: dokumentoikaa tietorakenteen päätökset, jotka minimoivat rajat ylittävän siirron (EU-alueen pilvipalvelut, paikalliset käsittelyvaihtoehdot)
- Pilvipalveluntarjoajille, joilla on EU-Yhdysvallat-arkkitehtuuri: dokumentoikaa siirtomekanismit ja TIA-menetelmät
Lähteet: