Ինչու Իռլանդիան առաջատար է ԵՄ կիրառման մեջ
Իռլանդիայի Տվյալների պաշտպանության հանձնաժողովը (DPC) առաջատար մարմինն է ԵՄ-ի խոշոր տեխնոլոգիական ընկերությունների մեծ մասի համար: Սա պատահականություն չէ:
Իռլանդիայի ցածր հարկային դրույքաչափն ու գրավիչ պայմանները ձգեցին Apple-ին, Google-ին, Meta-ին, LinkedIn-ին և TikTok-ին: Նրանք բոլորը հիմնեցին իրենց ԵՄ-ի գլխավոր գրասենյակները Իռլանդիայում:
GDPR-ի 60-րդ հոդվածը DPC-ն դարձնում է առաջատար մարմին այս ընկերությունների համար: Այս կանոնից բխում են երեք հետևություն:
Նախ՝ Գերմանիայից Facebook-ի մասին բողոքը ուղարկվում է Իռլանդիայի DPC, այլ ոչ թե գերմանական BfDI: Երկրորդ՝ DPC-ն աշխատում է ԵՄ-ի այլ մարմինների հետ սահմանամերձ գործերի կապակցությամբ: Երրորդ՝ DPC-ի՝ Meta-ի դեմ կայացված վճիռը կիրառվում է ողջ ԵՄ-ում:
Արդյունքը ակնհայտ է: DPC-ն ԵՄ-ի բոլոր մյուս մարմիններից ավելի շատ տուգանք է նշանակել: Տեսե՛ք մեր GDPR-ի համապատասխանության ակնարկը՝ հասկանալու, թե ինչ ազդեցություն է թողնում սա վաճառողի ընտրության վրա:
Երեք տուգանք, որոնք որոշեցին 2024–2025 թթ.
€530 մլն TikTok-ի դեմ (մայիս 2025): Չինաստանի ինժեներները հասանելիություն ստացան ԵՄ-ի օգտատերերի գրառումներին: Սա խախտեց GDPR-ի 44–46-րդ հոդվածները, որոնք սահմանափակում են փոխանցումները ԵՄ-ի համապատասխանության վճռի չունեցող երկրներ: Չինաստանն այդպիսի վճիռ չունի: TikTok-ն ասում էր, որ ունի բավարար վերահսկողական մեխանիզմներ: DPC-ն գտավ, որ դա այդպես չէ:
€310 մլն LinkedIn-ի դեմ (հոկտեմբեր 2024): LinkedIn-ը "հիմնավոր շահ" հիմքի վրա էր ծախսում վարքագծի վերլուծության համար: DPC-ն գտավ, որ դա անվավեր է: Մշակումն անհրաժեշտ չէր հայտարարված նպատակի համար: Հավասարակշռության թեստը LinkedIn-ի օգտին չէր:
€251 մլն Meta-ի դեմ (նոյեմբեր 2024): 2018 թ. Facebook-ի անվտանգության խախտման մասին ժամանակին չի հայտնվել DPC-ին: DPC-ն նաև պարզեց, որ վատ աուդիտային գրառումները հնարավոր չդարձրեցին չափել, թե ինչ է բացահայտվել:
Այս երեքը միացան 2023 թ. մայիսի €1.2 մլրդ Meta-ի ավելի վաղ տուգանքին: Այն տուգանքն էլ DPC-ից էր՝ ԵՄ-ԱՄՆ ապօրինի փոխանցումների համար: Այն մնում է GDPR-ի ամենամեծ տուգանքը:
DPC-ն 2024 թ. մշակեց 8500-ից ավելի սահմանամերձ գործ: Ծանոթացե՛ք մեր անվտանգության և համապատասխանության էջին՝ տեսնելու համար, թե ինչպես է anonym.legal-ը մշակում տվյալները ԵՄ-ում:
Ինչ է բացահայտում յուրաքանչյուր տուգանք
Սահմանամերձ հասանելիության ձախողումներ
Բոլոր երեք տուգանքները կիսում են մեկ հիմնական խնդիր: Անձնական գրառումները բաց էին ԵՄ-ի մակարդակի գաղտնիության կանոններ չունեցող երկրների աշխատակիցների համար:
TikTok-ի տուգանքը ուղղակի էր: ԵՄ-ի օգտատերերի ֆայլերը հասան չինացի ինժեներներին՝ չնայած հայտարարված վերահսկողությանը:
Ինչ է սա նշանակում վաճառողի ընտրության համար: Հարցե՛ք, արդյոք ԵՄ-ից դուրս ինժեներները կարող են հասնել ԵՄ-ում տեղակայված գրառումներին: Վաճառողը կարող է ծառայությունն ու տվյալները պահել Դուբլինում, բայց ԱՄՆ-ի աջակցության անձնակազմի միջոցով ԵՄ-ի ֆայլերը բացահայտ կդառնան: ԵՄ-ում ռեզիդենտ լինելն ինքնին բավարար չէ: Մեր կազմավորների մշակման ուղեցույցը ցույց է տալիս, թե ինչպես հասանելիության վերահսկումը կապվում է GDPR-ի 46-րդ հոդվածի հետ:
Օրինական հիմքի ձախողումներ
LinkedIn-ի տուգանքը անվտանգության խախտման մասին չէր: Այն վերաբերում էր LinkedIn-ի կողմից իր մշակման հիմնավորմանը:
"Հիմնավոր շահ" ընդհանուր իրավունք չէ: Վերահսկողները պետք է փաստաթղթավորեն հավասարակշռության իրական թեստ: Այդ թեստը պետք է ցույց տա, որ նրանց շահը գերազանցում է օգտատիրոջ իրավունքները: Մեր համապատասխանության էջը ծածկում է, թե ինչպես վերանայել վաճառողի օրինական հիմքի պնդումները:
Գրառումների և ծանուցումների ձախողումներ
Meta-ի €251 մլն տուգանքը ներառեց կարևոր եզրակացություն: Վատ աուդիտային գրառումները անհնար դարձրեցին չափել խախտման ծավալը:
GDPR-ի 33-րդ հոդվածը պահանջում է 72 ժամվա ընթացքում ծանուցել խախտման մասին: Այդ ծանուցումը պետք է ներառի ազդված գրառումների ծավալը: Չի կարելի հայտնել, թե ինչ ծավալ, եթե այն չի կարող չափվել:
Հարցե՛ք ապագա վաճառողներին իրենց աուդիտային գրառումների կառուցվածքի մասին: Եթե վաճառողը չի կարողանում միջադեպից հետո պատասխանել «Ո՞ր գրառումներն են բացահայտվել» հարցին, ապա նա ձախողում է 33(3)(բ) հոդվածի պահանջները:
Ձևն ըստ DPC-ի գործերի
Կարդալով DPC-ի բոլոր չորս մեծ տուգանքները՝ մի ձև հայտնվում է: Կարգավորիչ մարմինները գործ են ունենում այն դիզայնների դեմ, որտեղ վաճառողի ինժեներները կարող են տեսնել օգտատիրոջ բովանդակությունը: Յուրաքանչյուր մեծ տուգանք ներառում էր անձնական գրառումներ վատ վերահսկված հասանելիությամբ:
Զրո-գիտակցության դիզայն լուծում է հիմնական մտահոգությունը յուրաքանչյուր դեպքում: Օգտատիրոջ բովանդակությունը կոդավորված է: Վաճառողը կոդավորումը բացող բանալիներ չի պահում:
TikTok-ի և Meta-ի փոխանցման գործերի դեպքում ԵՄ-ից դուրս ինժեներները հասնում են սերվերին, բայց տեսնում են միայն ծածկանշային տեքստ: Ոչ մի ընթեռնելի գրառում բացահայտ չի դառնում: Meta-ի անվտանգության խախտման գործի դեպքում ամբողջ սերվերի վտանգի ենթարկումը ոչ մի օգտակար բան չի բերի: Խախտման ծավալը կրճատվում է: LinkedIn-ի համար վաճառողը, որը երբևիցե հարթ տեքստ չի տեսնում, չի կարողանա վարքագծի վերլուծություն կատարել:
Սա ուղղակի պատասխանն է DPC-ի յուրաքանչյուր գործողությանը: anonym.legal-ը զրո-գիտակցությունը կիրառում է մուտքի համար. տեքստը մշակվում է ԵՄ-ում տեղակայված սերվերներում (Hetzner, Falkenstein): Մանրամասների համար տե՛ս մեր անվտանգության ակնարկը:
Ինչ է նշանակում "Հիմնական կայանատեղ"
Որոշ ընկերություններ ղեկավարում են իրենց ԵՄ կառուցվածքը՝ վերահսկելու, թե որ DPA-ն ունի իրավասություն: DPC-ի տեսակետն այստեղ կարևոր է:
"Հիմնական կայանատեղ" ուղղակի ընկերության հասցե չէ: Դա այն վայրն է, որտեղ ԵՄ-ի կենտրոնական կառավարումն է: Վերահսկողների համար դա այն վայրն է, որտեղ կայացվում են մշակման նպատակների մասին որոշումները:
Լոնդոնի գաղտնիության թիմ ունեցող ֆիրման կարող է ԵՄ-ի հիմնական կայանատեղ չունենալ: Յուրաքանչյուր անդամ-պետության DPA-ն կարող է հայտ ներկայացնել՝ հանդես գալ տեղական բողոքների հիման վրա:
Վաճառողի գնահատման հարցեր
Օգտագործե՛ք հետևյալ հարցերը, երբ գնահատում եք SaaS վաճառողներ, որոնք կարգավորում են անձնական գրառումներ:
Իրավասություն և հասանելիություն:
- Որտե՞ղ է վաճառողի ԵՄ-ի հիմնական կայանատեղը:
- Կարո՞ղ են ԵՄ-ից դուրս անձնակազմը մուտք գործել ԵՄ-ի օգտատերերի գրառումներ սովորական աշխատանքի ժամանակ:
- Ենթակա՞ է վաճառողի մայր ընկերությունը CLOUD Act-ին կամ Չինաստանի անվտանգության օրենքներին:
Տեխնիկական դիզայն:
- Մնո՞ւմ են ԵՄ-ի օգտատիրոջ բովանդակությունը ԵՄ-ում տեղակայված սերվերներում:
- Վաճառողը՞ է պահում կոդավորման բանալիները, թե՞ հաճախորդը:
- Բա՞վ մանրամասն են աուդիտային գրառումները՝ խախտման ծավալը չափելու համար:
Փոխանցման գրառումներ:
- Ի՞նչ GDPR-ի 46-րդ հոդվածի մեխանիզմ ծածկում է ԵՄ-ԱՄՆ հոսքերը:
- Կատարե՞լ է վաճառողը Փոխանցման ազդեցության գնահատում:
- Ի՞նչ լրացուցիչ տեխնիկական միջոցներ կան:
DPC-ի կիրառումը հետևողական է մի կետում: Նույնիսկ գաղտնիության թիմեր ու DPO-ներ ունեցող ֆիրմաները ստանում են մեծ տուգանքներ, երբ նրանց տեխնիկական դիզայնը չի համապատասխանում հայտարարություններին: Տե՛ս մեր դեպքերի ուսումնասիրությունները և ՀՏՀ-ն լրացուցիչ տեղեկությունների համար:
anonym.legal-ն տեքստը մշակում է ԵՄ-ում հիմնված Hetzner սերվերներում (Falkenstein): Զրոյական-գիտելիքը կիրառվում է մուտքի վրա, ուստի ձեր գաղտնաբառը երբեք չի լքում ձեր սարքը: anonym.legal-ի Desktop App-ը ֆայլերը կարդում է ձեր սարքում, իսկ հայտնաբերումն աշխատում է ԵՄ-ում տեղակայված API-ի վրա:
Աղբյուրներ
- Irish DPC — Պաշտոնական կիրառման որոշումներ — VERIFIED-EXTERNAL
- EDPB — Մեկ կանգառ-մեկ խանութ մեխանիզմ — VERIFIED-EXTERNAL
- GDPR տեքստ — 33, 44–46, 60-րդ հոդվածներ — VERIFIED