Miért vezeti Írország az EU érvényesítését
Az Ír Adatvédelmi Bizottság (DPC) a legtöbb nagy EU-s technológiai vállalat vezető hatósága. Ez nem véletlen.
Írország alacsony adókulcsa vonzotta az Apple-t, a Google-t, a Metát, a LinkedInt és a TikTokot. Mindannyian Írországban nyitották meg fő EU-s irodáikat.
A GDPR 60. cikke értelmében a DPC ezeknek a vállalatoknak a vezető hatósága. Ebből a szabályból három dolog következik.
Először: egy Németországból érkező Facebook-panasz az ír DPC-hez kerül, nem a német BfDI-hez. Másodszor: a DPC más EU-s szervekkel együttműködik a határon átnyúló ügyekben. Harmadszor: a DPC Meta elleni határozata az egész EU-ra érvényes.
Az eredmény egyértelmű. A DPC több bírságértéket szabott ki, mint az összes többi EU-s szerv együttvéve. Lásd GDPR megfelelőségi áttekintőnket arról, hogyan alakítja ez a szállítóválasztást.
Három bírság, amely meghatározza a 2024–2025-öt
530 millió eurós bírság a TikTok ellen (2025. május): Kínai mérnökök hozzáfértek EU-s felhasználói rekordokhoz. Ez sértette a GDPR 44–46. cikkeit. Ezek a szabályok korlátozzák az EU megfelelőségi határozata nélküli országokba irányuló adattovábbítást. Kínának nincs ilyen határozata. A TikTok azt állította, hogy megfelelő ellenőrzésekkel rendelkezett. A DPC szerint nem.
310 millió eurós bírság a LinkedIn ellen (2024. október): A LinkedIn „jogos érdekre” támaszkodott viselkedéselemzéshez. A DPC megállapította, hogy ez érvénytelen. Az adatkezelés nem volt szükséges a meghatározott célhoz. A mérlegelési teszt nem kedvezett a LinkedInnek.
251 millió eurós bírság a Meta ellen (2024. november): A 2018-as Facebook-adatvédelmi incidenst nem jelentették időben a DPC-nek. A DPC azt is megállapította, hogy a gyenge audit-naplók lehetetlenné tették a kitett adatok mértékének meghatározását.
Ez a három csatlakozott a korábbi, 2023. májusi 1,2 milliárd eurós Meta-bírsághoz. Azt a bírságot szintén a DPC szabta ki, jogellenes EU–USA adattovábbítás miatt. Ez mindmáig a valaha kiszabott legnagyobb GDPR-szankció.
A DPC 2024-ben több mint 8 500 határon átnyúló ügyet kezelt. Tekintse meg biztonsági és megfelelőségi oldalunkat, hogy lássa, hogyan kezeli az anonym.legal az adatokat az EU-ban.
Mit fed fel minden egyes bírság
Határon átnyúló hozzáférési hibák
Mindhárom bírság egy alapvető problémát oszt. A személyes rekordok nyitva álltak az EU-szintű adatvédelmi szabályok nélküli országokban lévő munkavállalók előtt.
A TikTok bírságja közvetlen volt. EU-s felhasználói fájlok jutottak el kínai mérnökökhöz a meghatározott ellenőrzések ellenére.
Mit jelent ez a szállítóválasztásnál: Kérdezze meg, hogy az EU-n kívüli mérnökök hozzáférhetnek-e az EU-ban tárolt rekordokhoz normál munkavégzés során. Egy szállító Dublinban üzemeltethet, de az EU-s fájlokat még mindig kiteheti az USA-ban dolgozó ügyfélszolgálati munkatársakon keresztül. Az EU-s tartózkodás önmagában nem elegendő. Az entitásfeldolgozási útmutatónk megmutatja, hogyan kapcsolódnak a hozzáférési vezérlők a GDPR 46. cikkéhez.
Jogalap-hibák
A LinkedIn bírságja nem adatvédelmi incidensről szólt. Arról szólt, hogyan indokolta a LinkedIn az adatkezelést.
A „jogos érdek” nem általános jog. Az adatkezelőknek dokumentálniuk kell egy valódi mérlegelési tesztet. Ennek a tesztnek igazolnia kell, hogy érdekük felülmúlja a felhasználó jogait. A megfelelőségi oldalunk lefedi a szállítói jogalapi igények felülvizsgálatának módját.
Naplózási és értesítési hibák
A Meta 251 millió eurós bírságja kulcsfontosságú megállapítást tartalmazott. A gyenge audit-naplók lehetetlenné tették az adatvédelmi incidens terjedelmének mérését.
A GDPR 33. cikke 72 órán belüli incidens-bejelentést ír elő. Ennek a bejelentésnek tartalmaznia kell az érintett rekordok terjedelmét. Nem tud jelenteni olyan terjedelmet, amelyet nem tud mérni.
Kérdezze meg a leendő szállítókat az audit-napló struktúrájukról. Ha egy szállító egy esemény után nem tud válaszolni arra, hogy „mely rekordok kerültek kitérítve?”, akkor nem felel meg a 33. cikk (3) bekezdés b) pontjának.
A DPC-esetekben felismerhető minta
Mind a négy nagy DPC-bírság áttekintésekor egy minta rajzolódik ki. A hatóságok olyan tervezési megoldások ellen lépnek fel, ahol a szállítói mérnökök láthatják a felhasználói tartalmat. Minden nagy bírság esetén a személyes rekordokhoz való rosszul ellenőrzött hozzáférés volt a közös nevező.
A zéró-ismereti tervezés mindegyik eset alapvető aggályát kezeli. A felhasználói tartalom titkosított. A szállító nem rendelkezik visszafejtési kulcsokkal.
A TikTok és a Meta továbbítási eseteinél az EU-n kívüli mérnökök hozzáférnek a szerverhez, de csak titkosított szöveget látnak. Nem kerülnek ki olvasható rekordok. A Meta adatvédelmi incidensénél egy teljes szerverfeltörés semmi hasznosat nem ad. Az incidens terjedelme összezsugorodik. A LinkedIn esetében egy szállító, amely soha nem lát egyszerű szöveget, nem végezhet viselkedéselemzést azon.
Ez a közvetlen válasz minden DPC-intézkedésre. Az anonym.legal a bejelentkezésre alkalmaz zéró-ismereti kialakítást; a szöveget EU-ban üzemeltetett szervereken dolgozzuk fel (Hetzner, Falkenstein). Lásd biztonsági áttekintőnket a részletekért.
Mit jelent a „fő telephely”
Néhány vállalat az EU-s struktúráját annak irányítására használja, hogy melyik adatvédelmi hatóságnak van joghatósága. A DPC álláspontja itt fontos.
A „fő telephely” nem csupán egy cégcím. Ez az, ahol a központi EU-s irányítás található. Az adatkezelők esetében ott, ahol az adatkezelési célokra vonatkozó döntések születnek.
Egy londoni adatvédelmi csapattal rendelkező vállalat esetleg nem rendelkezik EU-s főteleppel. Minden tagállam adatvédelmi hatósága akkor érvényesítheti joghatóságát a helyi panaszokhoz képest.
Szállítói felülvizsgálati kérdések
Használja ezeket a kérdéseket, amikor személyes adatokat kezelő SaaS-szállítókat értékel.
Joghatóság és hozzáférés:
- Hol van a szállító EU-s főtelepe?
- Hozzáférhetnek az EU-n kívüli munkatársak az EU-s felhasználói rekordokhoz normál munkavégzés során?
- A szállító anyavállalata a CLOUD Act vagy Kína biztonsági törvényeinek hatálya alá esik?
Technikai tervezés:
- Az EU-s felhasználói tartalom EU-n üzemeltetett szervereken marad-e?
- A szállító rendelkezik-e titkosítási kulcsokkal, vagy az ügyfél?
- Elég részletesek-e az audit-naplók az adatvédelmi incidens terjedelmének méréséhez?
Adattovábbítási nyilvántartások:
- Milyen GDPR 46. cikke szerinti mechanizmus fedezi az EU–USA adatfolyamokat?
- Végzett-e a szállító adattovábbítási hatásvizsgálatot?
- Milyen kiegészítő technikai intézkedések vannak érvényben?
A DPC érvényesítése következetes egy ponton. Még az adatvédelmi csapatokkal és adatvédelmi tisztviselőkkel rendelkező vállalatok is nagy bírságokkal szembesülnek, ha technikai tervezésük nem egyezik meg az állításaikkal. Lásd esettanulmányainkat és GYIK-oldalunkat további információkért.
Az anonym.legal a szöveget EU-alapú Hetzner szervereken (Falkenstein) dolgozza fel; a zero-knowledge a bejelentkezésre vonatkozik, így a jelszava soha nem hagyja el az eszközét. Az anonym.legal asztali alkalmazása az Ön eszközén olvassa a fájlokat; az észlelés az EU-ban tárolt API-n fut.
Források
- Ír DPC — Hivatalos végrehajtási határozatok — ELLENŐRZÖTT-KÜLSŐ
- EDPB — Egyablakos ügyintézési mechanizmus — ELLENŐRZÖTT-KÜLSŐ
- GDPR szövege — 33., 44–46., 60. cikk — ELLENŐRZÖTT