Anonimizáló eszköz és GDPR: a TikTok-bírság tanulságai
A TikTok-precedens
2025 májusában az ír Adatvédelmi Bizottság (Data Protection Commission, DPC) 530 millió eurós bírságot szabott ki a TikTokra. A vállalat EU-s felhasználói adatokat továbbított Kínába megfelelő biztosítékok nélkül.
A lényeg egyszerű: a jogsértés maga az exportálás volt — nem az adatgyűjtés, és nem az, mi történt Kínában. Az EU-s adatok nem EGT-s szerverre való küldése megsértette a GDPR 46. cikke (1) bekezdését.
A GDPR 44–49. cikke az EU-s adatok minden határon átnyúló továbbítására vonatkozik. Minden egyes továbbításnak jogalapra van szüksége. A leggyakoribb lehetőségek:
- Megfelelőségi határozat (az EU jóváhagyja a fogadó ország jogszabályait)
- A fogadó félre kötelező érvényű Általános Szerződési Feltételek (SCCs)
- Kötelező erejű vállalati szabályok (BCR) nagy multinacionális cégek esetén
- Egyéb 46. cikk szerinti mechanizmus
A GDPR-bírságok összege 2025-ig elérte az 5,65 milliárd eurót. A határon átnyúló jogsértések átlagos bírságösszege 18 millió euró (DLA Piper 2025), és ezek a GDPR legköltségesebb kategóriái közé tartoznak.
Az anonimizáló eszközök problémája
Sok EU-s vállalat személyes adatokat eltávolító, amerikai alapú eszközöket alkalmaz tartalmaihoz. Ez biztonságosnak tűnik: feltöltöd az EU-s ügyféladatokat, visszakapod a tisztított kimenetet, és azt az EU-ban tárolod.
Am a nyers személyes adatok először átmentek egy amerikai szerveren. Ez az átmenet a GDPR 44–49. cikke értelmében exportnak minősül. A jó szándék nem változtat a jogi megítélésen. Az adatok utólagos személyes adat-mentesítése sem teszi visszacsináltá a korábbi továbbítást — az export már megtörtént.
Az ír DPC TikTok-ügyben alkalmazott logikája itt is érvényes. A jogsértés az EU-s felhasználói adatok nem EGT-s szerverre való továbbítása. Egy olyan amerikai eszköz, amely EU-s személyes adatokat fogad be az USA-ban lévő szerverein, exportot fogadott. Ehhez SCC-kre, megfelelőségi határozatra vagy BCR-ekre van szükség — éppúgy, mint bármely más határon átnyúló továbbítás esetén.
A szervezetek ezt rendszeresen figyelmen kívül hagyják: azt feltételezik, hogy az anonimizálás eredménye felmentést ad az export alól. Nem ad felmentést. A jogi minősítés azon alapul, mi hagyta el az EU-t — nem azon, mi érkezett vissza.
A zéró-ismereti megoldás
A megoldás architekturális jellegű. Egy olyan eszköz, amely soha nem kap személyes adatokat, nem okozhat határon átnyúló jogsértést.
Egy ilyen eszköz a személyes adatok detektálását helyben végzi, a felhasználó böngészőjében vagy helyi alkalmazásában. A szervere csak a tisztított kimenetet látja — valódi nevek, azonosítók és elérhetőségek helyett tokeneket. Az anonym.legal nem így működik: az észlelése az EU-ban üzemeltetett API-n fut (Hetzner, Falkenstein), így a szöveg az EU-ban marad, de eljut a szerverhez.
A GDPR alapján a személyes adatot nem tartalmazó kimenet nem tartozik az exportra vonatkozó szabályok hatálya alá. Valódi tartalom nem hagyta el az EU-t.
Ez a különbség a GDPR 30. cikke szerinti nyilvántartások szempontjából is meghatározó. Egy zéró-ismereti EU-s eszközre vonatkozó ROPA-bejegyzés nem tartalmaz határon átnyúló adattovábbítást. Egy olyan amerikai eszközre vonatkozó ROPA-bejegyzés viszont, amely nyers EU-s személyes adatokat kap, exportot rögzít — és ahhoz egyértelműen dokumentált jogalapra van szükség.
Arról, hogy a ROPA-bejegyzéseknek mit kell tartalmazniuk: GDPR-megfelelési útmutató. A szükséges technikai ellenőrzési intézkedésekről: biztonsági megfelelési áttekintő. A különböző eszközökre vonatkozó dokumentálási tippekről: anonimizálási konzisztencia útmutató.