כלי אנונימיזציה ו-GDPR: תקדים TikTok מוסבר
תקדים TikTok
במאי 2025, נציבות הגנת המידע האירית קנסה את TikTok €530 מיליון. TikTok שלחה מידע משתמשים אירופיים לסין. ללא אמצעי הגנה מתאימים.
הנקודה המרכזית מצומצמת. ההפרה הייתה ייצוא ה-PII עצמו. לא האיסוף. לא מה שקרה בסין. שליחת רשומות אירופיות לשרת שאינו אירופי הפרה את סעיף 46(1).
סעיפי GDPR 44–49 חלים על כל העברה חוצת גבולות של רשומות אירופיות. כל העברה דורשת בסיס משפטי. האפשרויות הנפוצות:
- החלטת נאותות (האיחוד האירופי מאשר את חוקי המדינה המקבלת)
- סעיפים חוזיים סטנדרטיים המחייבים את הנמען
- כללים ארגוניים מחייבים לתאגידים גדולים
- מנגנון אחר לפי סעיף 46
קנסות GDPR הגיעו ל-€5.65 מיליארד עד 2025. הפרות חוצות גבולות עולות כיום ממוצע של €18 מיליון לפעולת אכיפה (DLA Piper 2025). הן נמנות עם קטגוריות GDPR היקרות ביותר.
בעיית כלי האנונימיזציה
חברות אירופיות רבות משתמשות בכלים מבוססי ארה"ב כדי לנקות מ-PII את התוכן שלהן. זה נראה בטוח. מעלים תוכן לקוח אירופי. מקבלים בחזרה פלט נקי. שומרים אותו באיחוד האירופי.
אבל המידע האישי הגולמי עבר תחילה דרך שרת אמריקאי. מעבר זה נחשב לייצוא לפי סעיפים 44–49. כוונה טובה לא משנה את המבחן המשפטי. הסרת PII לאחר מכן אינה מבטלת את ההעברה הקודמת. הייצוא כבר אירע.
היגיון ה-DPC האירי בפרשת TikTok חל כאן. ההפרה היא העברת רשומות משתמשים אירופיים לשרת שאינו אירופי. כלי אמריקאי שמקבל PII אירופי בשרתים אמריקאיים ביצע ייצוא. הוא זקוק ל-SCCs, להחלטת נאותות או ל-BCRs — בדיוק כמו כל העברה חוצת גבולות אחרת.
ארגונים מחמיצים זאת לעיתים קרובות. הם מניחים שתוצאת האנונימיזציה מצדיקה את הייצוא. אינה מצדיקה. הניתוח המשפטי נסב על מה שיצא מהאיחוד האירופי — לא על מה שחזר.
הפתרון אפס-הידע
הפתרון הוא ארכיטקטורלי. כלי שאינו מקבל מידע אישי לעולם אינו יכול לגרום להפרת העברה חוצת גבולות.
כלי כזה מריץ את זיהוי ה-PII מקומית, בדפדפן המשתמש או ביישום מקומי. השרת שלו רואה רק פלט נקי — אסימונים המחליפים שמות אמיתיים, מזהים ופרטי קשר. anonym.legal אינה פועלת כך: הזיהוי שלה רץ על ה-API המאוחסן באיחוד האירופי (Hetzner, Falkenstein), ולכן הטקסט נשאר באיחוד האירופי אך כן מגיע לשרת.
לפי GDPR, פלט ללא מידע אישי אינו כפוף לכללי ייצוא. אף תוכן אמיתי לא יצא מהאיחוד האירופי.
הבחנה זו חשובה לרשומות סעיף 30. ערך ROPA עבור כלי אירופי אפס-ידע אינו מתעד העברה חוצת גבולות. ערך ROPA עבור כלי אמריקאי שמקבל PII אירופי גולמי מתעד ייצוא. לערך זה נדרש בסיס משפטי מתועד בבירור.
מדריך הציות ל-GDPR מכסה את מה שערכי ROPA חייבים לכלול. סקירת ציות האבטחה מסבירה את הבקרות הטכניות התומכות בהם. ראו גם מדריך עקביות אנונימיזציה לטיפים על תיעוד בין כלים שונים.