Hvers vegna Írland leiðir ESB-framkvæmd
Irish Data Protection Commission (DPC) er leiðandi yfirvald fyrir flest stór ESB-tæknifyrirtæki. Þetta er ekki tilviljun.
Lágt skatthlutfall Írlands laðaði að sér Apple, Google, Meta, LinkedIn og TikTok. Þau settust öll upp aðalskrifstofur ESB þar.
GDPR grein 60 gerir DPC að leiðandi yfirvaldi þessara fyrirtækja. Þrjú atriði leiða af þessari reglu.
Fyrst, kvörtun í Þýskalandi um Facebook fer til DPC Írlands, ekki þýska BfDI. Í öðru lagi vinnur DPC með öðrum ESB-stofnunum að þverlanda málum. Í þriðja lagi, DPC-úrskurður gegn Meta gildir um alla ESB.
Niðurstaðan er skýr. DPC hefur gefið út fleiri sektargildi en allar aðrar ESB-stofnanir saman. Sjáðu GDPR-reglufylgniyfirlit okkar um hvernig þetta mótar söluaðilaval.
Þrjár sektir sem skilgreina 2024–2025
€530M gegn TikTok (maí 2025): Kínversk verkfræðingar fengu aðgang að ESB-notendaskrám. Þetta braut GDPR greinar 44–46. Þessar reglur takmarka millifærslur til landa án ESB-fullnægiákvörðunar. Kína hefur enga. TikTok hélt því fram að hún hefði fullnægjandi eftirliti. DPC sagði að það hefði hún ekki.
€310M gegn LinkedIn (október 2024): LinkedIn treysti á "lögmætan hagsmuna" til hegðunargreiningar. DPC komst að þeirri niðurstöðu að þetta væri ógilt. Vinnslan þurfti ekki til hins tilgreinda markmiðs. Jafngildisprófunin henti ekki LinkedIn.
€251M gegn Meta (nóvember 2024): Öryggisbrotið á Facebook árið 2018 var ekki tilkynnt til DPC í tíma. DPC komst einnig að því að léleg endurskoðunarskrár gerðu það ómögulegt að mæla hvað var þekkt.
Þessir þrír bættust við fyrri €1,2B Meta-sekt frá maí 2023. Sú sekt kom einnig frá DPC, vegna ólöglegra ESB-Bandaríkja millifærslna. Hún er enn stærsta GDPR-sekt sem nokkurn tíma hefur verið gefin út.
DPC meðhöndlaði yfir 8.500 þverlanda mál árið 2024. Skoðaðu öryggi og reglufylgnisíðu okkar til að sjá hvernig núllþekkingarlegt hönnun bregst við hverri bilun.
Hvað hver sekt afhjúpar
Þverlanda aðgangsgallar
Allar þrjár sektirnar deila einum kjarna. Persónulegar skrár voru opnar fyrir starfsmenn í löndum án ESB-stigs friðhelgisreglna.
TikTok-sektinni var beinlínis beitt. ESB-notendaskrár náðu til kínverskra verkfræðinga þrátt fyrir tilgreindar eftirlitir.
Hvað þetta þýðir fyrir söluaðilaval: Spurðu hvort starfsmenn utan ESB geti nálgast ESB-hýstar skrár í venjulegu starfi. Söluaðili gæti hýst í Dublin en samt afhjúpað ESB-skrár í gegnum bandarískt stuðningsstarfsfólk. ESB-búseta ein er ekki nóg. Einingavinnsluhandbók okkar sýnir hvernig aðgangseftirlit kortleggur á GDPR grein 46.
Lögmætar heimildarbilanir
LinkedIn-sektinni var ekki beitt vegna öryggisbrots. Hún var vegna þess hvernig LinkedIn réttlætti vinnslu sína.
"Lögmætur hagsmunar" er ekki almætt réttindi. Stjórnendur verða að skjala raunverulega jafngildisprófun. Sú prófun verður að sýna að hagsmunir þeirra vega þyngra en réttindi notandans. Reglufylgnisíða okkar fjallar um hvernig á að endurskoða lögmæta heimildarkröfur söluaðila.
Skráningar- og tilkynningargallar
Meta €251M sektinni innihélt lykilniðurstöðu. Léleg endurskoðunarskrár gerðu umfang öryggisbrots ómögulegt að mæla.
GDPR grein 33 krefst tilkynningar um öryggisbrot innan 72 klukkustunda. Sú tilkynning verður að innihalda umfang skráðra sem urðu fyrir áhrifum. Þú getur ekki tilkynnt umfang sem þú getur ekki mælt.
Spurðu væntanlega söluaðila um uppbyggingu endurskoðunarskráa þeirra. Ef söluaðili getur ekki svarað "hvaða skrár urðu þekktar?" eftir atvik, uppfyllir hann ekki grein 33(3)(b).
Mynsturið yfir DPC-mál
Lesðu yfir öll fjögur stóru DPC-sektin og eitt mynstur kemur fram. Eftirlitsstjórnvöld bregðast við hönnunum þar sem söluaðilaverkfræðingar geta séð notandaefni. Hvert stórt sektarmál snertist á illa stýrðum aðgangi að persónulegum skrám.
Núllþekkingarlegt hönnun bregst við kjarna ástæðu í hverju máli. Notandaefni er dulkóðað. Söluaðili heldur engum afkóðunarlyklum.
Fyrir TikTok og Meta-millifærslumál, ná starfsmenn utan ESB til þjónsins en sjá aðeins dulmál. Engar lesanlegar skrár eru þekktar. Fyrir Meta öryggisbrotamálið, gefur fullkominn þjónnabrot ekkert nothæft. Umfang öryggisbrots minnkar. Fyrir LinkedIn, getur söluaðili sem sér aldrei meginmálstexta ekki keyrt hegðunargreiningu á honum.
Þetta er bein svar við hverri DPC-aðgerð. Sjáðu öryggisyfirlit okkar fyrir nánar, eða stiftarsjónarmiðin okkar um hvers vegna anonym.legal var smíðuð þannig frá upphafi.
Hvað "Aðalstofnun" þýðir
Nökkur fyrirtæki leiðbeina ESB-uppbyggingu sinni til að stjórna hvaða DPA hefur lögsögu. Afstaða DPC skiptir máli hér.
"Aðalstofnun" er ekki bara fyrirtækjaheimilisfang. Þar er miðlæg ESB-stjórnun staðsett. Fyrir stjórnendur er þar teknar ákvarðanir um markmiðum vinnslu.
Fyrirtæki með London friðhelgishóp gæti haft enga aðalstofnun í ESB. Hvert aðildarríkis DPA gæti þá sett fram yfirvald yfir staðbundnum kvörtunum.
Söluaðilaspurningar
Notaðu þessar spurningar þegar þú metur SaaS-söluaðila sem meðhöndlar persónulegar skrár.
Lögsaga og aðgangur:
- Hvar er aðalstofnun söluaðilans í ESB?
- Geta starfsmenn utan ESB nálgast ESB-notendaskrár í venjulegu starfi?
- Er móðurfélag söluaðilans undirselt CLOUD Act eða öryggislögum Kína?
Tæknilegt hönnun:
- Heldst ESB-notandaefni á ESB-hýstum þjónum?
- Heldur söluaðilinn dulkóðunarlyklum, eða gerir viðskiptavinurinn það?
- Eru endurskoðunarskrár nákvæmar nóg til að mæla umfang öryggisbrots?
Millifærsluskrár:
- Hvaða GDPR grein 46 tæki hylja ESB-Bandaríkja flæðar?
- Hefur söluaðilinn gert Millifærsluáhrifamat?
- Hvaða viðbótar tæknilegar ráðstafanir eru til staðar?
DPC-framkvæmd er stöðug að einum punkti. Jafnvel fyrirtæki með friðhelgishópa og DPO standa frammi fyrir stórum sektum þegar tæknilegt hönnun þeirra passar ekki við fullyrðingar þeirra. Sjáðu dæmisögur okkar og FAQ fyrir meira.
anonym.legal notar ESB-staðsett Hetzner-þjóna með núllþekkingarlegt hönnun. Þjónar geyma aðeins AES-256-GCM dulmál. Fullkomið brot afhjúpar engar lesanlegar skrár. Skjáborðsforritið vinnur allt efni á tækinu með engum ytri tengingum.
Heimildir
- Irish DPC — Official enforcement decisions — VERIFIED-EXTERNAL
- EDPB — One-Stop-Shop mechanism — VERIFIED-EXTERNAL
- GDPR text — Articles 33, 44–46, 60 — VERIFIED