Kazna od 530 milijuna eura za TikTok: GDPR suverenitet podataka

TikTok presuda koja je redefinirala suverenitet podataka

U svibnju 2025. irska Komisija za zaštitu podataka izrekla je GDPR kaznu od 530 milijuna eura protiv TikToka zbog prijenosa EU korisničkih podataka u Kinu bez odgovarajućih zaštitnih mjera.

Kazna je sada druga najveća pojedinačna GDPR kazna ikad izrečena, odmah iza 1,2 milijarde eura kazne za Meta iz 2023., također izrečene od strane irskog DPC-a, zbog nezakonitih EU-US prijenosa podataka na Facebookove poslužitelje u SAD-u. Zajedno, ta dva slučaja uspostavljaju jasan obrazac provedbe: prekogranični prijenosi podataka bez odgovarajućih zaštitnih mjera prioritetan su područje provedbe, a DPC će nametati kazne u razmjeru koji prisiljava na promjenu ponašanja.

S 5,65 milijardi eura kumulativnih GDPR kazni do 2025. (GDPR.eu tracker provedbe), provedba GDPR-a više nije pozadinski rizik usklađenosti — to je aktivni poslovni trošak koji regulatori aktivno nameću.

Što je TikTok slučaj zapravo presudio

TikTok slučaj nije se primarno bavio sigurnosnim praksama ili povredama podataka. Radilo se o lokaciji podataka i pravnoj osnovi za međunarodne prijenose podataka.

EU operacije TikToka pohranjivale su i obrađivale EU korisničke podatke na poslužiteljima kojima su imali pristup zaposlenici u Kini. GDPR članci 44-46 ograničavaju međunarodne prijenose podataka na zemlje bez EU odluke o primjerenosti, osim ako su na snazi specifični pravni mehanizmi. Kina nema EU odluku o primjerenosti. TikTokov argument da je implementirao odgovarajuće tehničke mjere nije prihvaćen.

Strukturalna pouka: "naši poslužitelji su u EU" nije dovoljno ako podacima mogu pristupiti osoblje izvan EU-a, ili ako je organizacija podložna zakonima zemlje s ovlastima pristupa države koje su u sukobu s GDPR-om.

Ovo je izravno relevantno za organizacije koje procjenjuju SaaS dobavljače. Dobavljač koji kaže "hostamo u EU" ali čija je matična tvrtka sa sjedištem u SAD-u, ili čije su osoblje podrške imalo pristup izvan EU-a, može se suočiti s istim regulatornim izazovom s kojim se suočio TikTok — a tako i njihovi klijenti.

Kumulativna slika: 5,65 milijardi eura GDPR kazni

Kumulativnih 5,65 milijardi eura do 2025. odražava sazrijevanje provedbe GDPR-a: regulatori su prešli s uspostavljanja presedana na sustavnu provedbu u svim kategorijama kršenja. Kršenja prijenosa podataka sada su kategorija s najvišim kaznama, što odražava regulatorne prioritete.

Njemački zdravstveni problem

GDPR članci 44-46 primjenjuju se jednako u svim sektorima, ali određeni sektori suočavaju se s dodatnim zahtjevima za suverene podatke izvan GDPR-a.

Njemačko zdravstvo: Peta knjiga Socijalnog zakonika (SGB V) ograničava obradu zdravstvenih podataka na sustave pod njemačkom kontrolom. Njemački zdravstveni osiguravatelj koji koristi alat za anonimizaciju u oblaku smješten u Dublinu — koji je tehnički EU — još uvijek može biti neusklađen s SGB V ako je operater alata nenjemački subjekt s potencijalnim sukobima prema njemačkom zakonu.

Švicarsko bankarstvo: Zakon o bankovnoj tajni Švicarske (Članak 47 Zakona o bankama) zabranjuje otkrivanje klijentskih informacija neovlaštenim stranama, uključujući pružatelje usluga u oblaku koji nisu pokriveni eksplicitnom suglasnosti klijenta. Podaci o klijentima švicarske privatne banke koji se obrađuju kroz bilo koji alat u oblaku — čak i onaj hostiran u EU — mogu pokrenuti obveze bankovne tajne.

Njemački javni sektor: Smjernice BfDI-ja (Savezni povjerenik za zaštitu podataka) ograničavaju podatke vladinih agencija na infrastrukturu pod vladinim nadzorom. Alat za anonimizaciju smješten na EU poslužiteljima komercijalnog pružatelja oblaka ne zadovoljava ovaj zahtjev.

Ovi slučajevi ilustriraju da je usklađenost s GDPR-om pod, a ne plafon. Za regulirane industrije i organizacije javnog sektora, suvereni zahtjevi za podatke često nameću dodatna ograničenja koja nadilaze lokaciju hostiranja.

Krajolik odluka o primjerenosti

Međunarodni okvir za prijenose GDPR-a ovisi o tome što Europska komisija donosi "odluke o primjerenosti" za zemlje koje se smatraju pružanjem jednakovrijedne zaštite podataka. Trenutni krajolik primjerenosti:

Zemlje s odlukama o primjerenosti: Andora, Argentina, Kanada (komercijalne organizacije), Farski otoci, Guernsey, Izrael, Otok Man, Japan, Jersey, Novi Zeland, Južna Koreja, Švicarska, UK, Urugvaj, SAD (Okvir za privatnost podataka — vraćen nakon poništavanja Schrems II)

Zemlje bez primjerenosti: Kina, Indija, Rusija, Brazil, većina APAC-a, većina MENA-e, većina Afrike

Okvir za privatnost podataka (EU-SAD) vraćen je nakon političkih pregovora, ali ostaje pravno osporavan. Zagovornici privatnosti već su signalizirali pravne izazove temeljene na argumentima zakona o nadzoru SAD-a koji su poništili njegove prethodnike (Safe Harbor u Schrems I, Privacy Shield u Schrems II).

Organizacije koje se oslanjaju na EU-SAD Okvir za privatnost podataka kao svoju pravnu osnovu za obradu podataka smještenih u SAD-u trebale bi imati planove za nepredviđene slučajeve za još jedno poništavanje.

Kako zahtjevi suvereniteta podataka utječu na odabir alata

Kumulativna slika iz TikToka, Mete i temeljnog regulatornog okvira stvara hijerarhiju jamstava usklađenosti za odabir SaaS alata:

Razina 1 — EU hosting: Podaci se obrađuju i pohranjuju na poslužiteljima fizički smještenim u EU. Ovo zadovoljava temeljni GDPR zahtjev za podatke koji ne zahtijevaju zaštitu na razini suverena.

Razina 2 — Operater sa sjedištem u EU: Kontrolirajući subjekt dobavljača je EU-temeljen i nije podložan zakonima neodgovarajuće zemlje. Ovo rješava TikTok problem gdje je EU hosting bio uparen s izloženošću kineskog zakona za matični subjekt.

Razina 3 — Arhitektura nultog znanja: Čak i ako je dobavljač hakiran, primoran od strane organa zakona ili prisiljen dostaviti podatke od strane strane vlade, ne može pristupiti podacima u obliku čistog teksta jer ključevi enkripcije drži isključivo klijent. Ovo rješava scenarij gdje čak i potpuno GDPR-usklađen dobavljač primi pravni zahtjev.

Razina 4 — Lokalna obrada: Podaci nikad ne napuštaju vlastitu infrastrukturu organizacije. Obrada se odvija na lokalnom hardveru ili sustavima pod vladinim nadzorom. Ovo je jedini pristup koji u potpunosti zadovoljava njemački SGB V, bankovnu tajnu Švicarske, zahtjeve javnog sektora BfDI-ja i slične suverene mandate za podatke.

Praktična posljedica za GDPR DPIA-e

Procjene učinka zaštite podataka (DPIA-e) koje se zahtijevaju prema GDPR članak 35 za obradu visokog rizika moraju uključivati procjenu učinka prijenosa kada se podaci dijele s procesorima iz trećih zemalja. Nakon TikTok presude, DPIA-e za alate za anonimizaciju temeljene na oblaku moraju eksplicitno adresirati:

1. Jurisdikcija matične tvrtke: Je li matična tvrtka dobavljača podložna zakonima (CLOUD Act, kineski zakon o kibernetičkoj sigurnosti, itd.) koji bi mogli zahtijevati dostavu EU korisničkih podataka?

2. Pristup osoblja za podršku: Ima li osoblje za podršku ili inženjering u neodgovarajućim zemljama pristup EU korisničkim podacima kao dio normalnog poslovanja?

3. Pravna osnova za prijenose: Koji specifični mehanizam GDPR članka 46 se primjenjuje na sve tokove podataka prema neodgovarajućim zemljama (SCC-ovi, BCR-ovi, derogacije)?

4. Analiza učinka povrede: Ako je dobavljač hakiran ili prisiljen dostaviti podatke, koji EU korisnički podaci bi bili izloženi?

Za organizacije koje koriste alate za anonimizaciju temeljene na oblaku, ova pitanja imaju konkretne odgovore koji moraju biti dokumentirani. TikTok presuda pokazala je da "imamo ugovore na snazi" nije dovoljno ako ti ugovori nisu pravilno procijenjeni za primjerenost.

Što to znači za nabavu u 2026.

Nakon TikTok presude, DPO-ovi koji pregledavaju SaaS dobavljače za alate za obradu podataka postavljaju specifičnija pitanja nego prije:

• Gdje su poslužitelji? (EU?)
• Gdje je matična tvrtka registrirana? (EU? SAD? Negdje drugo?)
• Imaju li zaposlenici izvan EU-a pristup EU korisničkim podacima?
• Koji zakon se primjenjuje na zahtjeve organa zakona za podatke?
• Postoji li arhitektura nultog znanja, ili dobavljač drži ključeve enkripcije?
• Postoji li opcija lokalne obrade?

Odgovori na ova pitanja — ne prisutnost potpisa DPA-a — određuju stvarnu usklađenost suvereniteta podataka u regulatornom okruženju post-TikTok.

Web platforma anonym.legal koristi EU-temeljene Hetzner centre podataka s arhitekturom nultog znanja — poslužitelj nikad ne prima nešifrirane korisničke podatke, a potpuna kompromitacija poslužitelja daje samo AES-256-GCM šifriranu datoteku. Za organizacije koje zahtijevaju isključivo lokalnu obradu, Desktop App obrađuje sve podatke na uređaju bez vanjske mrežne komunikacije.

Izvori:

• Irski DPC: Odluka o kazni TikToku od 530 milijuna eura
• Wire: Digitalni suverenitet 2025. — Europska poduzeća