DSB Ausztria: Schrems és adattovábbítás
Az osztrák Datenschutzbehörde (DSB) a NOYB székhelye szerinti felügyeleti hatóság. A NOYB a „None of Your Business” rövidítése. Max Schrems alapította a szervezetet, amely 2018 óta több mint 1000 GDPR-panaszt nyújtott be. A DSB 2022 és 2024 között ezek közül 422-t tárgyalt.
Ez a múlt fontos. A DSB két olyan jogi csata középpontjában áll, amelyek már alapjaiban átformálták az EU adattovábbítási jogát.
A NOYB és a DSB: egy minta
Schrems I (2015): Schrems panaszt nyújtott be a Facebook EU–US adatforgalma miatt. Az EU Bírósága megsemmisítette a Safe Harbor keretrendszert. Annak idején több mint 4000 vállalat támaszkodott erre a keretrendszerre.
Schrems II (2020): Egy második kihívás megdöntötte a Privacy Shield-et. Több mint 5000 vállalat függött tőle. Az összeomlás új tárgyalásokat tett szükségessé. Eredménye az EU–US Adatvédelmi Keretrendszer (DPF) lett, amely 2023-ban lépett hatályba.
Várható Schrems III (2025–2026): A NOYB megtámadta a DPF megfelelőségi határozatát. Érve: a FISA 702. szakasza még mindig ütközik a GDPR-ral. Várható az Európai Bíróság elé terjesztés.
A DSB-ügyek 78%-a határokon átnyúló adattovábbítást vagy harmadik fél eszközeit érinti. Ez a fókusz megkülönbözteti az osztrák hatóságot az EU többi szervétől.
A DSB Google Analytics-határozata
A DSB 2022. januári Google Analytics-határozata mintát adott a továbbítási ügyeknek.
Három kulcsmegállapítás született:
- Az IP-címek személyes adatok. Még a csonkított IP-k is lehetővé tehetik az újra-azonosítást a Google rendszerein belül, különösen a munkamenet-rekordokkal együtt.
- Az US-hozzáférés is adattovábbításnak minősül. Ha US-mérnökök hozzáférhetnek EU felhasználói adatokhoz, az GDPR szerinti adattovábbítás – legyen szó támogatásról, karbantartásról vagy jogi kötelezettségről.
- Az SCC-k Transfer Impact Assessment nélkül nem elegendők. A Standard Contractual Clause-okhoz TIA is szükséges, amely igazolja, hogy az US kémkedési törvények nem rontják le az SCC-k nyújtotta védelmet.
A DSB az osztrák weboldal-üzemeltetőt találta felelősnek – nem a Google-t. Az üzemeltető volt az adatkezelő. Ez minden olyan EU-s vállalkozásra vonatkozik, amely harmadik fél szkriptjeit ágyazza be. Az adatkezelői kötelezettségekről lásd a GDPR megfelelőségi útmutatót.
Kiegészítő technikai intézkedések
A Schrems II után az Európai Adatvédelmi Testület (EDPB) útmutatást adott ki a kiegészítő technikai intézkedésekről. Ezek akkor alkalmazandók, ha az SCC-k önmagukban nem elegendők. A DSB érvényesíti ezt az útmutatást.
Három megközelítés állja ki a DSB vizsgálatát:
EU-ban tárolt kulcsokkal végzett titkosítás. Az adatokat az EU-ból való kiküldés előtt titkosítsák. A visszafejtési kulcsokat EU-s kezekben kell tartani. Ha az US-hatóságok kötelezik a szolgáltatót az adatok kiadására, csak olvashatatlan titkosított szöveget kapnak.
Továbbítás előtti pszeudonymizáció. Határokon átívelő adattovábbításnál csak pszeudonym tokeneket küldjenek. Az újra-azonosítási kulcs az EU-ban marad. Az átadott adatok nem tartalmaznak közvetlen személyes adatot.
Helyi feldolgozás. Minden feldolgozást EU-ban üzemeltetett szervereken végezzenek. Csak összesített, valóban anonim statisztikák kerüljenek határon túlra. Személyes adatok egyáltalán nem hagyják el az EU-t.
A DSB megerősítette ezt az álláspontot. Az EU személyes adatokat US SaaS-szolgáltatóknak átadó szervezeteknek legalább az egyik megközelítést alkalmazniuk kell. Vagy igazolniuk kell, hogy az átadott tartalom valóban anonim.
A Schrems III kockázat
A kizárólag DPF-re támaszkodó cégek egyértelmű kockázatnak vannak kitéve. Ha a NOYB CJEU-kihívása sikeres lesz, ezeknek a cégeknek gyorsan új adattovábbítási eszközöket kell találniuk. Pontosan ez történt 2015-ben és 2020-ban is.
A kiegészítő technikai intézkedéseket alkalmazó szervezetek védve vannak. Ha a tartalom valóban anonim, GDPR szerinti adattovábbítás nem történik. A DPF esetleges összeomlása számukra semmit sem változtat.
Az osztrák működés szempontjából: az analitikai eszközök (Google Analytics, Mixpanel, Amplitude) mind DSB-kitettséget teremtenek. Ugyanígy az US anyavállalattal rendelkező CRM-rendszerek (Salesforce, HubSpot) és azok a felhőplatformok, ahol US-alkalmazottak adminisztrátori hozzáféréssel rendelkeznek.
A megoldás minden esetben ugyanaz. Gondoskodjon arról, hogy a személyes adatok valóban anonim formában érjék el a szolgáltatót. Vagy titkosítsa őket olyan kulcsokkal, amelyeket kizárólag az EU-s adatkezelő tárol. A biztonsági és megfelelőségi áttekintőnk elmagyarázza, hogyan dolgozza fel az anonym.legal a szöveget az EU-ban (Hetzner, Falkenstein).
Források
- DSB: Osztrák Adatvédelmi Hatóság — VERIFIED-EXTERNAL
- NOYB: Stratégiai pereskedés — VERIFIED-EXTERNAL
- CJEU: Schrems II-határozat C-311/18 (2020) — VERIFIED-EXTERNAL
- EDPB: 01/2020. sz. ajánlások a kiegészítő továbbítási intézkedésekről — VERIFIED-EXTERNAL