DSB אוסטריה: Schrems והעברות נתונים
ה-Datenschutzbehörde (DSB) האוסטרי הוא גוף הפיקוח הביתי של NOYB. NOYB פירושו None of Your Business ("אין זה עניינך"). Max Schrems ייסד את הארגון, שהגיש יותר מ-1,000 תלונות GDPR מאז 2018. ה-DSB טיפל ב-422 תיקים מאלה בין 2022 ל-2024.
רקורד זה חשוב. ה-DSB נמצא במרכז שתי מלחמות משפטיות שכבר שינו את דיני העברת הנתונים ב-EU.
NOYB וה-DSB: דפוס חוזר
Schrems I (2015): Schrems הגיש תלונה על זרימת הנתונים של Facebook בין ה-EU לארה"ב. בית המשפט האירופי לצדק ביטל את מסגרת Safe Harbor. יותר מ-4,000 חברות הסתמכו על מסגרת זו.
Schrems II (2020): ערעור שני פגע ב-Privacy Shield. יותר מ-5,000 חברות נשענו עליו. קריסתו אילצה משא ומתן חדש, שהוביל למסגרת הפרטיות EU-US (DPF), שנכנסה לתוקף ב-2023.
Schrems III הצפוי (2025–2026): NOYB ערערה על החלטת ה-DPF. הטיעון: סעיף 702 לחוק FISA עדיין מתנגש עם ה-GDPR. הפניה לבית המשפט האירופי לצדק צפויה.
78% מתיקי ה-DSB עוסקים בהעברות חוצות גבולות או בכלי צד שלישי. מיקוד זה מבדיל את הרגולטורים האוסטרים מגופים אחרים ב-EU.
פסיקת Google Analytics של ה-DSB
החלטת DSB מינואר 2022 בנוגע ל-Google Analytics הציבה את התבנית לתיקי העברה.
שלושה ממצאים מרכזיים עלו ממנה:
- כתובות IP הן נתונים אישיים. גם IP מקוצר יכול לאפשר זיהוי מחדש בתוך מערכות Google. רישומי סשן מחמירים זאת.
- גישה של ספק אמריקאי מהווה העברה. כאשר מהנדסים אמריקאים יכולים לגשת לרשומות משתמשים אירופאים, גישה זו מהווה העברה לפי GDPR — לרבות לצורכי תמיכה, תחזוקה וצווים משפטיים.
- SCCs ללא TIA אינם מספיקים. SCCs (סעיפי חוזה סטנדרטיים) טעונים הערכת השפעת העברה. ה-TIA חייבת להראות שחוקי המעקב האמריקאים אינם מבטלים את ההגנות שב-SCC.
ה-DSB קבע שמפעיל האתר האוסטרי חב באחריות — לא Google. המפעיל הוא הבקר. הדבר חל על כל עסק אירופאי שמטמיע סקריפטים של צד שלישי. ראו את מדריך עמידה ב-GDPR לגבי חובות הבקר.
אמצעים טכניים נוספים
לאחר Schrems II, ה-EDPB פרסם הנחיות על אמצעים טכניים נוספים. אלה חלים כאשר SCCs לבדם אינם מספיקים. ה-DSB אוכף הנחיות אלה.
שלושה גישות עומדות בבחינת ה-DSB:
הצפנה עם מפתחות המוחזקים ב-EU. מצפנים רשומות לפני שיוצאות מה-EU. מפתחות הפענוח נשארים בידי גורמים אירופאים. אם רשויות אמריקאיות מחייבות את הספק למסור קבצים, הם מקבלים טקסט מוצפן שאינן יכולות לפענח.
פסאודונימיזציה לפני העברה. שולחים רק אסימונים פסאודוניים חוצי גבולות. מפתח הזיהוי המחודש נשמר בתוך ה-EU. הקבצים המועברים אינם מכילים נתונים אישיים ישירים.
עיבוד מקומי. מריצים את כל העיבוד בשרתים המוחזקים ב-EU. מעבירים רק סטטיסטיקות מצטברות ואנונימיות. אין רשומות אישיות שחוצות גבולות כלל.
ה-DSB אישר עמדה זו. ארגונים המשתמשים בספקי SaaS אמריקאיים לנתונים אישיים של אזרחי EU חייבים להחיל לפחות אחת מהגישות הללו — או להוכיח שהתוכן המועבר אנונימי באמת.
סיכון Schrems III
חברות הנשענות אך ורק על ה-DPF חשופות לסיכון ברור. אם ערעור NOYB בבית המשפט יצליח, חברות אלה יצטרכו למצוא כלי העברה חלופיים במהירות. זה בדיוק מה שקרה ב-2015 וב-2020.
ארגונים המשתמשים באמצעים טכניים נוספים מוגנים. אם התוכן אנונימי באמת, GDPR אינו חל על ההעברה. קריסת DPF לא תשנה דבר עבורם.
עבור פעילות באוסטריה: כלי אנליטיקה (Google Analytics, Mixpanel, Amplitude) כולם יוצרים חשיפה ל-DSB. כך גם מערכות CRM עם חברות אם אמריקאיות (Salesforce, HubSpot). פלטפורמות ענן שבהן עובדים אמריקאים מחזיקים גישת מנהל נושאות אותו סיכון.
הפתרון זהה בכל מקרה: יש לוודא שרשומות אישיות אנונימיות באמת לפני שהן מגיעות לספק, או להצפינן עם מפתחות שהבקר האירופאי בלבד מחזיק. סקירת האבטחה והציות שלנו מסבירה כיצד עיצוב zero-knowledge מסלק את בעיית ההעברה מיסודה.