Paradoks uskladjenosti

Azurirano za 2026.

Tvrtke koriste alate za anonimizaciju kako bi ispunile GDPR pravila. Alat je zamišljen kao rješenje. Štiti osobne podatke prema clanku 32. Ali ako alat šalje EU osobne datoteke na americke posluzitelje, stvara upravo onu povredu zbog koje je i kupljen.

U kolovozu 2024., nizozemski Ured za zaštitu podataka kaznio je Uber s 290 milijuna eura. To je bila najveca EU kazna za prijenos podataka u to vrijeme. Razlog: Uber je slao europske dokumente vozaca na americke posluzitelje. Imena, datoteke lokacija, podaci o placanju i osobni dokumenti — sve je preneseno. Nije bilo odgovarajucih zaštitnih mjera prema clanku 46. Nizozemski DPA presudio je da je Uberova upotreba americkih posluzitelja kontinuirana GDPR povreda.

Ista logika vrijedi za alate za anonimizaciju. US SaaS alat koji prenosi EU osobne podatke na americke posluzitelje cini isto što je nederlandski DPA kaznio. Svrha — anonimizacija nasuprot upravljanju voznjama — ne mijenja pravnu analizu. Pogledajte naš pregled uskladjenosti za jednostavno objašnjenje.

Zaštitari podataka su primijetili

Sluzbeni zaštitari podataka (DPO) postavljaju ovo pitanje od Schrems II u 2020. Ta presuda ukinula je EU-US Privacy Shield. Postavila je pravilo da americke serveri nisu sigurni za EU osobne datoteke bez dodatnih zaštitnih mjera.

Svaki US alat koji uzima EU osobne datoteke zahtijeva pravnu osnovu za prijenos u dokumentaciji. GDPR kazne dostigle su ukupno 5,65 milijardi eura do 2025. Povrede prijenosa sada prosjecno iznose 18 milijuna eura po postupku. Rizik je realan. Vec je producirao visoke kazne. Producirati ce ih i dalje.

Dva nacina za rješavanje paradoksa

Postoje dva prava rješenja. Prvo, obradjivati dokumente iskljucivo na EU posluziteljima. Datoteke nikada ne napuštaju EU. Drugo, koristiti dizajn nultog znanja. Nikakav osobni sadrzaj ne dolazi do posluzitelja.

Samo EU hosting možda nije dovoljan. Americka tvrtka na EU posluziteljima ipak moze biti prisiljena predati datoteke. FISA odjeljak 702 i Izvršna naredba 12333 dopiru do americkih tvrtki i njihovih EU podružnica. Americka maticna tvrtka moze biti prisiljena dati pristup — cak i datotekama na EU posluziteljima.

Dizajn nultog znanja rješava ovo. Ako nikakav osobni sadrzaj ne dolazi do posluzitelja, lokacija posluzitelja nije bitna. Ono što dolazi do posluzitelja — šifrirani tokeni, maskirane vrijednosti, transformirani izlaz — nije osobna informacija prema GDPR-u. Izlazi iz okvira pravila o prijenosu. anonym.legal sam bira prvi put: njegov API obrađuje tekst u EU data centrima (Hetzner, Falkenstein). Pogledajte naš pregled sigurnosti i planove cijena.

anonym.legal obrađuje tekst u EU data centrima tvrtke Hetzner (Falkenstein); nulto znanje odnosi se na prijavu, pa vaša lozinka nikada ne napušta vaš uređaj. Desktop App tvrtke anonym.legal čita datoteke na vašem uređaju; otkrivanje se izvodi na API-ju smještenom u EU.