A TikTok-ítélet, amely újradefiniálta az adatszuverenitást
2025 májusában az ír Adatvédelmi Bizottság (DPC) 530 millió eurós GDPR-bírságot szabott ki a TikTokra, amiért megfelelő biztosítékok nélkül továbbított EU-s felhasználói adatokat Kínába.
A bírság most a valaha kiszabott második legnagyobb egyedi GDPR-büntetés, amelyet csak az 1,2 milliárd eurós Meta-bírság előz meg 2023-ból — szintén az ír DPC-től, az EU–USA közötti illegális adatátvitelért a Facebook américai szerverei felé. Ez a két ügy együttesen egyértelmű érvényesítési mintát állapít meg: a megfelelő biztosítékok nélküli határokon átnyúló adatátvitelek kiemelt érvényesítési területnek minősülnek, és a DPC olyan léptékű bírságokat szab ki, amelyek viselkedésváltozásra kényszerítenek.
Az 5,65 milliárd eurós összesített GDPR-bírsággal 2025-ig (GDPR.eu érvényesítési nyomkövetés) a GDPR-megfelelés már nem háttérkockázat — aktív üzleti költség, amelyet a szabályozók aktívan rónak ki.
Mit mondott ki valójában a TikTok-ügy
A TikTok-ügy nem elsősorban biztonsági gyakorlatokról vagy adatvédelmi incidensekről szólt. Az adatok helyszínéről és a nemzetközi adatátvitel jogi alapjáról szólt.
A TikTok EU-s tevékenységei EU-s felhasználói adatokat tároltak és dolgoztak fel olyan szervereken, amelyekhez kínai alkalmazottak is hozzáfértek. A GDPR 44–46. cikkei korlátozzák a harmadik országokba irányuló nemzetközi adatátviteleket EU-s megfelelőségi döntéssel nem rendelkező országokba, hacsak nem állnak fenn konkrét jogi mechanizmusok. Kínának nincs EU-s megfelelőségi döntése. A TikTok érvelését, miszerint megfelelő technikai intézkedéseket hozott, nem fogadták el.
A strukturális tanulság: „a szervereink az EU-ban vannak” nem elegendő, ha az adatokhoz az EU-n kívüli személyek is hozzáférhetnek, vagy ha a szervezetre olyan ország jogszabályai vonatkoznak, amelynek állami hozzáférési hatáskörei ütköznek a GDPR-ral.
Ez közvetlenül releváns a SaaS-szállítókat értékelő szervezetek számára. Egy olyan szállító, amely azt mondja: „az EU-ban tároljuk az adatokat”, de amelynek anyavállalata az USA-ban van bejegyezve, vagy amelynek ügyfélszolgálati munkatársai az EU-n kívülről férnek hozzá az adatokhoz, ugyanolyan szabályozói kihívással nézhet szembe, mint amellyel a TikTok találkozott — és ugyanez vonatkozhat ügyfeleikre is.
Az összesített kép: 5,65 milliárd eurós GDPR-bírságok
| Érvényesítési intézkedés | Bírság | Év | Alap |
|---|---|---|---|
| Meta (Facebook) — DPC | 1,2 milliárd € | 2023 | Illegális EU–USA átvitel |
| TikTok — DPC | 530 millió € | 2025 | EU–Kína átvitel |
| Amazon — CNPD Luxemburg | 746 millió € | 2021 | Hirdetéscélzás |
| WhatsApp — DPC | 225 millió € | 2021 | Átláthatósági hibák |
| Google — CNIL Franciaország | 150 millió € | 2022 | Cookie-beleegyezés |
Az összesített 5,65 milliárd eurós összeg 2025-ig a GDPR-érvényesítés érését tükrözi: a szabályozók a precedensek megállapításától a jogsértési kategóriák szisztematikus érvényesítéséig jutottak. Az adatátviteli jogsértések most a legmagasabb bírságkategória, ami a szabályozói prioritásokat tükrözi.
A német egészségügyi probléma
A GDPR 44–46. cikkei minden ágazatban egyformán vonatkoznak, de bizonyos ágazatok a GDPR-on túlmutató, kiegészítő szuverén adatkövetelményekkel is szembenéznek.
Német egészségügy: Az V. Szociális Törvénykönyv (SGB V) az egészségügyi adatok feldolgozását német ellenőrzésű rendszerekre korlátozza. Egy dublini tárhelyen üzemeltetett felhőalapú anonimizálási eszközt használó német egészségbiztosító — amely technikailag EU-s — az SGB V szerint mégsem lehet megfelelő, ha az eszköz üzemeltetője nem-német szervezet, amelyre esetleg más jogszabályok vonatkoznak.
Svájci banki titok: A svájci banktitoktörvény (47. cikk a bankokról szóló törvényből) megtiltja az ügyfélinformációk közlését jogosulatlan felekkel, beleértve az explicit ügyfél-beleegyezés nélküli felhőszolgáltatókat. Egy svájci magánbank ügyféladatait bármely felhőeszközön feldolgozva — még EU-ban tárolva is — banktitokvédelmi kötelezettségek keletkezhetnek.
Német közszféra: A BfDI (Szövetségi Adatvédelmi Biztos) iránymutatása a kormányzati szervek adatait kormány által ellenőrzött infrastruktúrára korlátozza. Egy kereskedelmi felhőszolgáltató EU-s szerverein tárolt anonimizálási eszköz nem teljesíti ezt a követelményt.
Ezek az esetek szemléltetik, hogy a GDPR-megfelelés az alap, nem a mennyezet. Szabályozott iparágak és közszférabeli szervezetek számára a szuverén adatkövetelmények gyakran a tárolási helyen túlmutató kiegészítő korlátozásokat írnak elő.
A megfelelőségi döntések tája
A GDPR nemzetközi adatátviteli keretrendszere attól függ, hogy az Európai Bizottság „megfelelőségi döntéseket” hoz-e az egyenértékű adatvédelmet biztosítónak ítélt országokra. A jelenlegi helyzet:
Megfelelőségi döntéssel rendelkező országok: Andorra, Argentína, Kanada (kereskedelmi szervezetek), Feröer-szigetek, Guernsey, Izrael, Man-sziget, Japán, Jersey, Új-Zéland, Dél-Korea, Svájc, Nagy-Britannia, Uruguay, USA (Adatvédelmi Keretrendszer — a Schrems II érvénytelenítése után helyreállítva)
Megfelelőségi döntéssel nem rendelkező országok: Kína, India, Oroszország, Brazília, az ázsiai-csendes-óceáni térség nagy része, a MENA-térség nagy része, Afrika nagy része
Az Adatvédelmi Keretrendszer (EU–USA) politikai tárgyalások után állt helyre, de jogilag vitatott marad. Az adatvédelem-támogatók már jelezték a jogi kihívásokat az USA megfigyelési jogi érveléssel kapcsolatban, amely megsemmisítette elődjeit (a Schrems I-ben a Safe Harbort, a Schrems II-ben a Privacy Shieldet).
Azoknak a szervezeteknek, amelyek az EU–USA Adatvédelmi Keretrendszerre támaszkodnak az USA-ban tárolt adatok feldolgozásának jogalapjaként, vészterveiknek kell lenniük egy újabb érvénytelenítés esetére.
Hogyan fordítják le az adatszuverenitási követelményeket az eszközválasztásra
A TikTok, a Meta és a mögöttes szabályozási keret összesített képe megfelelési biztosítékok hierarchiáját teremti meg a SaaS-eszközök kiválasztásához:
1. szint — EU-s tárolás: Az adatok feldolgozása és tárolása fizikailag az EU-ban található szervereken történik. Ez teljesíti az alapvető GDPR-követelményt az olyan adatok esetén, amelyek nem igényelnek szuverén szintű védelmet.
2. szint — EU-s üzemeltető: A szállító ellenőrző szervezete EU-ban van bejegyezve, és nem tartozik nem-megfelelő ország joghatósága alá. Ez kezeli a TikTok-problémát, ahol az EU-s tárolás kínai jogi kitettséggel párosult az anyavállalatnál.
3. szint — Zero-knowledge kialakítás: Még ha a szállítót feltörik, vagy bírósági végzést kap, akkor sem tudja elolvasni a fájljait. Ön tartja a titkosítási kulcsokat. Ők csak titkosított szöveget tartanak. Az anonym.legal zero-knowledge bejelentkezést kínál, nem zero-knowledge feldolgozást; lásd a biztonsági áttekintésünket.
4. szint — Helyi feldolgozás: Az adatok egyáltalán nem hagyják el a szervezet saját infrastruktúráját. A feldolgozás helyi hardveren vagy kormány által ellenőrzött rendszereken történik. Ez az egyetlen megközelítés, amely teljesen teljesíti a német SGB V-t, a svájci banktitkot, a BfDI közszféra-követelményeit és hasonló szuverén adatmegbízásokat.
A GDPR-adatvédelmi hatásvizsgálatok gyakorlati következménye
A GDPR 35. cikke szerinti, a nagy kockázatú feldolgozáshoz szükséges adatvédelmi hatásvizsgálatoknak (DPIA) tartalmazniuk kell az átviteli hatásvizsgálatot, amikor adatokat osztanak meg harmadik ország feldolgozóival. A TikTok-ítélet nyomán a felhőalapú anonimizálási eszközökre vonatkozó DPIA-knak kifejezetten foglalkozniuk kell a következőkkel:
-
Anyavállalat joghatósága: A szállító anyavállalata olyan jogszabályok hatálya alá tartozik-e (CLOUD Act, kínai kiberbiztonsági törvény stb.), amelyek EU-s ügyféladatok kiadására kötelezhetik?
-
Ügyfélszolgálati munkatársak hozzáférése: A nem-megfelelő országokban dolgozó ügyfélszolgálati vagy mérnöki munkatársaknak rendes működés keretében van-e hozzáférésük EU-s ügyféladatokhoz?
-
Átvitel jogalapja: Melyik konkrét GDPR 46. cikk szerinti mechanizmus vonatkozik a nem-megfelelő országokba irányuló adatfolyamokra (SCC-k, kötelező érvényű vállalati szabályok, eltérések)?
-
Incidens hatáselemzése: Ha a szállítót feltörik vagy adatkiadásra kötelezik, milyen EU-s ügyféladatok kerülnek napvilágra?
A felhőalapú anonimizálási eszközöket használó szervezetek számára ezekre a kérdésekre konkrét válaszok szükségesek, amelyeket dokumentálni kell. A TikTok-ítélet megmutatta, hogy „szerződések vannak érvényben” nem elegendő, ha ezeket a szerződéseket nem értékelték megfelelőség szempontjából.
Mit jelent ez a 2026-os közbeszerzésnek
A TikTok-ítéletet követően az adatvédelmi megbízottak (DPO) az adatfeldolgozási eszközök SaaS-szállítóit értékelve konkrétabb kérdéseket tesznek fel, mint korábban:
- Hol vannak a szerverek? (EU-ban?)
- Hol van bejegyezve az anyavállalat? (EU? USA? Máshol?)
- EU-n kívüli alkalmazottaknak van-e hozzáférése EU-s ügyféladatokhoz?
- Melyik jog alkalmazandó a bűnüldözési adatkiadási kérelmekre?
- A szállító tartja a titkosítási kulcsokat, vagy Ön?
- Van-e helyi feldolgozási lehetőség?
Ezekre a kérdésekre adott válaszok — nem az adatfeldolgozási megállapodások aláírásának ténye — határozzák meg a tényleges adatszuverenitás-megfelelést a TikTok utáni szabályozási környezetben.
Az anonym.legal a szöveget EU-alapú Hetzner adatközpontokban (Falkenstein) dolgozza fel; a zero-knowledge a bejelentkezésre vonatkozik, így a jelszava soha nem hagyja el az eszközét. Csak helyi feldolgozásra van szüksége? Testvértermékünk, az anonym.plus teljes egészében az Ön eszközén fut; az anonym.legal asztali alkalmazása az Ön eszközén olvassa a fájlokat; az észlelés az EU-ban tárolt API-n fut.
Források: