Nizozemski AP i kazna za Uber
U kolovozu 2024. nizozemski AP kaznio je Uber s 290 milijuna eura. Uber je slao EU podatke vozaca na americke posluzitelje bez pravne osnove. Ti podaci ukljucivali su vozacke dozvole, provjere kaznjavanosti, medicinske zapise i putne zapise.
Uber je premjestao podatke nakon sto je Schrems II ukinuo EU-US Privacy Shield u srpnju 2020. Nastavio je te prijenose dvije godine. Bez standardnih ugovornih klauzula. Bez ikakvog clanka 46. mehanizma.
Ova kazna je najveca u EU za povredu prijenosa podataka. Treca je po velicini medu svim GDPR kaznama ikada. Propusti pri prijenosu sada nose ogromne troskove. Ne samo povrede.
Pogledajte nas vodic za GDPR sukladnost za brzi pregled.
Prioritetna podrucja provedbe AP-a
Nizozemski AP primio je vise od 21.400 prituzbi u 2023. Fokusira se na tri podrucja.
Prioritet 1 -- Pracenje radnika (43% slucajeva): Mnoge nizozemske tvrtke suocile su se s kaznama AP-a zbog promatranja svojih zaposlenika. Skrivene kamere, masovne provjere e-poste i GPS pracenje bez obavijesti sve aktiviraju akciju. Nizozemsko radno pravo dodaje dodatna pravila povrh GDPR-a.
Prioritet 2 -- Prekogranicni prijenosi (31% slucajeva): Nakon kazne za Uber i zajednicke istrage s irskim DPC-om o Cloudflare-u (2023.), AP je poostrio nadzor prijenosa. Amsterdamski tehnoloski sektor suocava se s visokim rizikom ovdje. Oblacne tvrtke, fintech i brzorastuca startupa su sve u opsegu.
Prioritet 3 -- Marketing i profiliranje (26% slucajeva): Ovo pokriva pristanak na kolacice, ciljano oglasavanje i izravni marketing. AP ima strogo glediste na "legitimni interes". Zahtijeva pisane testove s jasnim dokazima.
Pravila prijenosa nakon Ubera
Procjene utjecaja na prijenos (TIA): EDBP zahtijeva TIA za svaki prijenos u trecu zemlju. TIA mora pokazati da odrediste pruzaa jednakopravnu zastitu prema EU pravu. AP kaze da TIA mora odgovoriti na cetiri pitanja:
- Koji su zakoni o pristupu u odredisnoj zemlji?
- Koliko daleko mogu doci obavjestajne agencije?
- Kakva je povijest vladnih zahtjeva uputjenih uvozniku podataka?
- Koji pravni lijekovi su dostupni ispitanicima?
Standardne ugovorne klauzule -- same po sebi nisu dovoljne: SCC-ovi sami po sebi ne zadovoljavaju clanak 46. Ako TIA pokazuje rizik pristupa vlade, potrebne su dodatne zastitne mjere.
Dodatne tehnicke mjere koje AP prihvaca:
- Enkripcija gdje uvoznik nema pristup kljucevima za desifiranje
- Uklanjanje izravnih ID-ova prije prijenosa tako da uvoznik ne moze vezati podatke na osobu
- Redukcija podataka prije prijenosa, smanjivanje polja koja uvozniku nisu potrebna
Desktop App tvrtke anonym.legal čita datoteke na vašem uređaju; otkrivanje se izvodi na API-ju smještenom u EU (Hetzner, Falkenstein), pa podaci ostaju u EU. Za obradu bez ikakve vanjske veze naš srodni proizvod anonym.plus radi u potpunosti na uređaju. Pogledajte nas pregled sigurnosti i sukladnosti.
Podaci zaposlenika i nizozemsko radno pravo
Fokus AP-a od 43% na pracenje radnika pokazuje kako se GDPR i nizozemsko radno pravo preklapaju.
Tri pravila primjenjuju se za organizacije u Nizozemskoj:
Suglasnost radnickog vijeca: Tvrtka s radnickim vijecem mora dobiti njegovu suglasnost prije uvodenja bilo kojeg alata za pracenje. Ovo pokriva AI alate, provjere e-poste i sustave prisutnosti.
Prikladnost svrsi: Pracenje mora odgovarati navedenoj svrsi. Skriveno pracenje nije dopusteno. Otvoreno pracenje mora biti najmanje intruzivna opcija.
Ogranicenje svrhe: HR podaci prikupljeni za jednu svrhu ne mogu se koristiti za drugu. Potrebna je nova pravna osnova.
Ova pravila zahtijevaju tri zapisa: suglasnost vijeca, provjeru svrhe i kontrole. Nas popis provjere sukladnosti pokriva sve tri.
Otkrivanje PII-a u Nizozemskoj
PII alati u Nizozemskoj moraju rukovati lokalnim ID formatima. Standardni globalni alati ih cesto propustaju:
- BSN (Burger Service Nummer): 9-znamenkasti nizozemski nacionalni ID -- zahtijeva provjeru kontrolne sume
- IBAN (NL prefiks): Nizozemski IBAN s vlastitom logikom provjere valjanosti
- Postanski broj (postcode): Format je 4 znamenke + razmak + 2 slova
- DigiD: Vladinski digitalni identitetni kod
- Zdravstveni brojevi: BGZ i EP formati za zapise pacijenata
Genericki alat moze uhvatiti IBAN ali propustiti provjeru kontrolne sume BSN-a ili format postanskog broja. Testirajte otkrivanje BSN-a prije nego sto obradjujete podatke o nacionalnom identitetu. Ne pretpostavljajte pokrivenost.
Koraci za organizacije u Nizozemskoj
1. Revizija prijenosa: Navedite sve tijekove podataka prema trecim zemljama. Pregledajte SCC-ove koji su na snazi. Provedite TIA-ove za kljucne tijekove. Evidentiraite dodatne tehnicke mjere gdje TIA signalizira rizik.
2. Pregled pracenja radnika: Navedite sve alate za pracenje, ukljucujuci AI. Provjerite zapise suglasnosti radnickog vijeca. Potvrdite da provjere svrhe postoje u pisanom obliku.
3. Provjera pokrivenosti PII-a: Testirajte otkrivanje BSN-a, postanskog broja i IBAN-a u vasim PII alatima. Testirajte tocnost na dokumentima na nizozemskom jeziku.
4. Izlozenost tehnoloskog sektora: Startupi trebaju evidentirati izbore koji smanjuju rizik prijenosa -- EU regionalni oblak i lokalne opcije obrade. Oblacni pružatelji s EU-US postavkama trebaju dokumentirati svoje alate za prijenos i pristup TIA-u.
anonym.legal obrađuje tekst u EU data centrima tvrtke Hetzner (Falkenstein); nulto znanje odnosi se na prijavu, pa vaša lozinka nikada ne napušta vaš uređaj. Trebate isključivo lokalnu obradu? Naš srodni proizvod anonym.plus radi u potpunosti na vašem uređaju; Desktop App tvrtke anonym.legal čita datoteke na vašem uređaju; otkrivanje se izvodi na API-ju smještenom u EU.