Zasto Irska predvodi EU provedbu
Irska Komisija za zastitu podataka (DPC) je vodeijce tijelo za vecinu velikih EU tehnoloskiih tvrtki. To nije slucajnost.
Niska porezna stopa Irske privukla je Apple, Google, Meta, LinkedIn i TikTok. Svi su tamo osnovali svoja glavna EU ureda.
Clanak 60. GDPR-a cini DPC vodecim tijelom za te tvrtke. Iz tog pravila slijede tri stvari.
Prvo, prituzba u Njemackoj o Facebooku ide irskom DPC-u, a ne njemackom BfDI-u. Drugo, DPC suraduje s drugim EU tijelima u prekogranicnim slucajevima. Trece, odluka DPC-a protiv Mete primjenjuje se diljem cijelog EU-a.
Rezultat je jasan. DPC je izdao vise vrijednosti kazni nego sva ostala EU tijela zajedno. Pogledajte nas pregled GDPR sukladnosti kako to utjece na odluke o dobavljacima.
Tri kazne koje definiraju 2024.-2025.
530 milijuna eura protiv TikToka (svibanj 2025.): Kineski inzenjeri pristupali su EU korisnickim zapisima. Ovo krsava clanke 44.-46. GDPR-a. Ta pravila ogranicavaju prijenose u zemlje bez EU odluke o adekvatnosti. Kina nema nijednu. TikTok je tvrdio da ima odgovarajuce kontrole. DPC je rekao da nije imao.
310 milijuna eura protiv LinkedIna (listopad 2024.): LinkedIn se oslanjao na "legitimni interes" za analizu ponasanja. DPC je utvrdio da je to nevaljano. Obrada nije bila potrebna za navedenu svrhu. Test ravnoteze nije bio u LinkedInovu korist.
251 milijuna eura protiv Mete (studeni 2024.): Povreda Facebooka iz 2018. nije prijavljena DPC-u na vrijeme. DPC je takodje utvrdio da losi revizijski zapisi onemogucavaju mjerenje onoga sto je bilo izlozeno.
Ovoj trojici pridruzi la se ranija kazna od 1,2 milijarde eura za Metu iz svibnja 2023. Ta je kazna takodje dosla od DPC-a, zbog ilegalnih EU-US prijenosa. Ostaje najveca GDPR kazna ikada izrecena.
DPC je u 2024. handled vise od 8.500 prekogranicnih slucajeva. Pregledajte nasu stranicu za sigurnost i sukladnost kako dizajn nulte spoznaje rjesava svaki propust.
Sto svaka kazna otkriva
Propusti prekogranicnog pristupa
Sve tri kazne dijele jedan temeljni problem. Osobni zapisi bili su dostupni osoblju u zemljama bez EU razine pravila privatnosti.
Kazna za TikTok bila je izravna. EU korisnicke datoteke dosle su do kineskihh inzenjera unatoc navedenim kontrolama.
Sto to znaci za odabir dobavljaca: Pitajte mogu li ne-EU inzenjeri pristupiti EU-hostiranim zapisima u normalnom radu. Dobavljac moze hostirati u Dublinu ali i dalje izlagati EU datoteke putem americkog osoblja podrske. Samo EU rezidencija nije dovoljna. Nas vodic za obradu entiteta pokazuje kako se kontrole pristupa mapiraju na clanak 46. GDPR-a.
Propusti zakonite osnove
LinkedInova kazna nije bila o povredi. Bila je o tome kako je LinkedIn opravdao svoju obradu.
"Legitimni interes" nije blanket pravo. Kontrolori moraju dokumentirati pravi test ravnoteze. Taj test mora pokazati da njihov interes nadmasa prava korisnika. Nas vodic za sukladnost pokriva kako pregledati zahtjeve za zakonitu osnovu dobavljaca.
Propusti u evidentiranju i obavjestavanju
Meta-ina kazna od 251 milijuna eura ukljucivala je kljucni nalaz. Losi revizijski zapisi onemogucili su mjerenje opsega povrede.
Clanak 33. GDPR-a zahtijeva obavijest o povredi u roku od 72 sata. Ta obavijest mora ukljucivati opseg pogodjenih zapisa. Ne mozete prijaviti opseg koji ne mozete izmjeriti.
Pitajte potencijalne dobavljace o strukturi njihovih revizijskih zapisa. Ako dobavljac ne moze odgovoriti "koji su zapisi bili izlozeni?" nakon incidenta, ne prolazi clanak 33(3)(b).
Obrazac u DPC slucajevima
Procitajte sve cetiri glavne DPC kazne i pojavljuje se jedan obrazac. Regulatori djeluju protiv dizajniranja gdje inzenjeri dobavljaca mogu vidjeti korisnicke sadrzaje. Svaka velika kazna ukljucivala je lose kontrolirani pristup osobnim zapisima.
Dizajn nulte spoznaje rjesava temeljnu brigu u svakom slucaju. Korisnicke sadrzaje su sifrirani. Dobavljac nema kljuceve za desifiranje.
Za slucajeve prijenosa TikToka i Mete, ne-EU inzenjeri dosegnu posluzitelj ali vide samo sifrotext. Nikakvi citljivi zapisi nisu izlozeni. Za slucaj povrede Mete, potpuna kompromitacija posluzitelja ne donosi nista korisno. Opseg povrede se smanjuje. Za LinkedIn, dobavljac koji nikad ne vidi otvoreni tekst ne moze provoditi analizu ponasanja na njemu.
Ovo je izravan odgovor na svaku DPC akciju. Pogledajte nas pregled sigurnosti za detalje, ili nasu izjavu osnivaca o tome zasto je anonym.legal izgraden na ovaj nacin od prvog dana.
Sto znaci "glavni poslovni nastan"
Neke tvrtke strukturiraju svoju EU strukturu kako bi kontrolirale koji DPA ima nadleznost. Glediste DPC-a ovdje je vazno.
"Glavni poslovni nastan" nije samo adresa tvrtke. To je mjesto gdje sjedi sredisnje EU upravljanje. Za kontrolore, to je gdje se donose odluke o ciljevima obrade.
Tvrtka s londonskim timom za privatnost mozda nema EU glavni poslovni nastan. Svako drzavno tijelo bi tada moglo tvrditi nadleznost za lokalne prituzbe.
Pitanja za pregled dobavljaca
Koristite ova pitanja kada ocjenjujete SaaS dobavljace koji rukuju osobnim zapisima.
Nadleznost i pristup:
- Gdje je EU glavni poslovni nastan dobavljaca?
- Mogu li ne-EU osoblje pristupiti EU korisnickim zapisima u normalnom radu?
- Je li maticna tvrtka dobavljaca podvrgnuta CLOUD Actu ili kineskim zakonima o sigurnosti?
Tehnicka izvedba:
- Ostaju li EU korisnicke sadrzaje na EU-hostiranim posluziteljima?
- Drzi li dobavljac kljuceve enkripcije, ili ih drzi kupac?
- Jesu li revizijski zapisi dovoljno detaljni za mjerenje opsega povrede?
Zapisi o prijenosu:
- Koji GDPR clanak 46. mehanizam pokriva sve EU-US tijekove?
- Je li dobavljac proveo Procjenu utjecaja na prijenos?
- Koje su dodatne tehnicke mjere na snazi?
DPC provedba je dosljedna u jednoj tocki. Cak i tvrtke s timovima za privatnost i DPO-ima suocavaju se s visokim kaznama kada njihov tehnicka izvedba ne odgovara tvrdnjama. Pogledajte nase studije slucaja i FAQ za vise.
anonym.legal koristi EU-bazirane Hetzner posluzitelje s dizajnom nulte spoznaje. Posluzitelji sadrze samo AES-256-GCM sifrotext. Potpuna povreda ne izlaze citljive zapise. Aplikacija za stolna racunala obradjuje sve sadrzaje na uredjaju bez vanjskih veza.