ה-Dutch AP וקנס Uber
באוגוסט 2024, ה-Dutch AP קנסה את Uber €290 מיליון. Uber שלחה נתוני נהגים אירופיים לשרתים בארה"ב ללא בסיס משפטי. הנתונים כללו רישיונות מונית, בדיקות פליליות, רשומות רפואיות ויומני נסיעות.
Uber העבירה את הנתונים לאחר שSchrems II ביטל את ה-EU-US Privacy Shield ביולי 2020. היא המשיכה את ההעברות הללו שנתיים. ללא סעיפים חוזיים סטנדרטיים. ללא שום כלי מסעיף 46.
קנס זה הוא הגדול ביותר ב-EU על פרצת העברת נתונים. הוא מדורג שלישי בין כל קנסות ה-GDPR אי פעם. כשלי העברה כעת נושאים עלויות עצומות. לא רק פרצות.
ראו את מדריך תאימות GDPR שלנו לסקירה מהירה.
תחומי עדיפות אכיפה של AP
ה-Dutch AP קיבל מעל 21,400 תלונות ב-2023. הוא מתמקד בשלושה תחומים.
עדיפות 1 — מעקב עובדים (43% מהמקרים): חברות רבות בהולנד קיבלו קנסות AP על מעקב אחר עובדיהן. מצלמות נסתרות, בדיקות אימייל בכמות גדולה ומעקב GPS ללא הודעה — כולם מפעילים פעולה. דיני עבודה הולנדיים מוסיפים כללים נוספים על GDPR.
עדיפות 2 — העברות חוצות גבולות (31% מהמקרים): לאחר קנס Uber וחקירה משותפת עם DPC האירית על Cloudflare (2023), ה-AP הגביר את פיקוח ההעברות. סקטור הטכנולוגיה של אמסטרדם נמצא בסיכון גבוה. חברות ענן, פינטק וסטארטאפים בצמיחה מהירה — כולם בהיקף.
עדיפות 3 — שיווק ופרופיל (26% מהמקרים): זה מכסה הסכמת עוגיות, מיקוד פרסומות ושיווק ישיר. ה-AP נוקט עמדה נוקשה על "אינטרס לגיטימי". הוא מחייב בדיקות כתובות עם ראיות ברורות.
כללי העברה לאחר Uber
הערכות השפעת העברה (TIAs): ה-EDPB דורש TIA לכל העברה למדינה שלישית. ה-TIA חייב להראות שהיעד מספק הגנה שווה לחוק ה-EU. ה-AP אומר שTIA חייבת לענות על ארבע שאלות:
- מהם חוקי הגישה במדינת היעד?
- עד כמה יכולות סוכנויות הריגול להגיע?
- מהי ההיסטוריה של בקשות ממשלה ליבואן הנתונים?
- אילו סעדים משפטיים יכולים נבדקים להשתמש בהם?
סעיפים חוזיים סטנדרטיים — אינם מספיקים לבדם: SCCs לבדם אינם מספקים לפי סעיף 46. אם ה-TIA מראה סיכון גישה ממשלתי, נדרשים אמצעי הגנה נוספים.
אמצעים טכניים נוספים שה-AP מקבל:
- הצפנה שבה ליבואן אין גישה למפתחות פענוח
- הסרת מזהים ישירים לפני העברה כדי שהיבואן לא יוכל לקשר את הנתונים לאדם
- צמצום נתונים לפני העברה, חיתוך שדות שהיבואן אינו זקוק להם
אפליקציית Desktop במצב לא מקוון מריצה את כל העבודה על המכשיר שלכם. היא אינה שולחת נתונים החוצה. זה מבטל את בעיית ההעברה לפעילות זו. ראו את סקירת האבטחה והתאימות שלנו.
נתוני עובדים ודיני עבודה הולנדיים
מיקוד 43% של AP על מעקב עובדים מראה כיצד GDPR ודיני עבודה הולנדיים חופפים.
שלושה כללים חלים לארגונים בהולנד:
אישור ועד עובדים: חברה עם ועד עובדים חייבת לקבל אישורו לפני השקת כל כלי מעקב. זה מכסה כלי AI, בדיקות אימייל ומערכות נוכחות.
מתאים למטרה: מעקב חייב להתאים למטרתו המוצהרת. מעקב נסתר אינו מותר. מעקב פתוח חייב להיות האפשרות הפחות פולשנית.
הגבלת מטרה: נתוני משאבי אנוש שנאספו למטרה אחת לא יכולים לשמש למטרה אחרת. בסיס משפטי חדש נדרש.
כללים אלה מחייבים שלוש רשומות: אישור הוועד, בדיקת המטרה והבקרות. רשימת הבדיקה לתאימות שלנו מכסה את שלושתן.
זיהוי PII בהולנד
כלי PII בהולנד חייבים לטפל בפורמטי זיהוי מקומיים. כלים גלובליים סטנדרטיים לעתים קרובות מחמיצים אותם:
- BSN (Burger Service Nummer): מזהה לאומי הולנדי בן 9 ספרות — מחייב אימות ספרת בדיקה
- IBAN (קידומת NL): IBAN הולנדי עם לוגיקת אימות משלו
- מיקוד (postcode): הפורמט הוא 4 ספרות + רווח + 2 אותיות
- DigiD: קוד זהות דיגיטלית ממשלתית
- מספרי בריאות: פורמטי BGZ ו-EP לרשומות מטופלים
כלי גנרי עשוי לתפוס IBAN אך לפספס ספרת הבדיקה של BSN או פורמט המיקוד. בדקו זיהוי BSN לפני שאתם מעבדים נתוני זהות לאומיים. אל תניחו כיסוי.
צעדים לארגונים בהולנד
1. ביקורת העברות: רשמו את כל זרימות הנתונים למדינות שלישיות. בדקו SCCs קיימים. הפעילו TIAs לזרימות מרכזיות. תעדו אמצעים טכניים נוספים כאשר TIA מסמן סיכון.
2. בדיקת מעקב עובדים: רשמו את כל כלי המעקב, כולל AI. בדקו רשומות אישור ועד עובדים. אשרו שבדיקות מטרה קיימות בכתב.
3. בדיקת כיסוי PII: בדקו זיהוי BSN, מיקוד ו-IBAN בכלי ה-PII שלכם. בדקו דיוק על מסמכים בשפה ההולנדית.
4. חשיפת סקטור הטכנולוגיה: סטארטאפים צריכים לתעד בחירות שמצמצמות סיכון העברה — ענן באזור EU ואפשרויות עיבוד מקומיות. ספקי ענן עם הגדרות EU-US צריכים לתעד את כלי ההעברה שלהם וגישת TIA.
anonym.legal משתמשת במרכזי נתונים EU-based של Hetzner עם עיצוב אפס-ידע. השרת לעולם אינו רואה את התוכן שלכם בטקסט פשוט. פרצת שרת מלאה מניבה רק טקסט מוצפן AES-256-GCM. זקוקים לעיבוד מקומי בלבד? אפליקציית Desktop רצה לחלוטין על המכשיר שלכם ללא חיבורים חיצוניים.
מקורות
- Dutch AP: Autoriteit Persoonsgegevens אתר רשמי — VERIFIED-EXTERNAL
- Dutch AP: החלטת אכיפה Uber (אוגוסט 2024) — VERIFIED-EXTERNAL
- EDPB: המלצות 01/2020 על אמצעים משלימים — VERIFIED-EXTERNAL