L'Autoriteit Persoonsgegevens (AP) ha multato Uber con €290 milioni nell'agosto 2024. La sanzione riguardava l'invio di dati degli autisti su server statunitensi senza un accordo di trasferimento valido. Nessun altro caso GDPR ha prodotto una multa più elevata per un trasferimento transfrontaliero. Nel 2023, l'AP ha gestito oltre 21.400 reclami — uno dei volumi più alti tra le autorità europee per la protezione dei dati.
Cosa ha rilevato l'AP nel caso Uber
Uber raccoglieva dati degli autisti nei Paesi Bassi e in Francia. I dati comprendevano la cronologia degli spostamenti, documenti d'identità, buste paga, precedenti di guida e documentazione fiscale. Tutto veniva trasferito su server statunitensi. L'AP ha ritenuto il meccanismo di trasferimento non valido.
Tre elementi hanno determinato la decisione:
- Meccanismo di trasferimento inadeguato: Uber utilizzava le Binding Corporate Rules (BCR). L'AP ha rilevato che non coprivano la portata né la sensibilità dei dati degli autisti coinvolti.
- Nessuna Transfer Impact Assessment (TIA): Uber non ha dimostrato che la normativa statunitense lasciasse inalterate le protezioni di trasferimento concordate.
- Dati sensibili per combinazione: Cronologia degli spostamenti, retribuzioni e valutazioni delle prestazioni, considerate insieme, forniscono un quadro dettagliato di ogni autista. L'AP ha trattato questa combinazione come equivalente a dati personali sensibili.
Il caso Uber stabilisce una regola chiara: i dati di dipendenti e collaboratori trasferiti negli USA richiedono la stessa TIA e le stesse misure aggiuntive previste per i dati dei consumatori.
Aree di enforcement dell'AP per il 2025
Aggiornato al 2026
L'AP ha individuato tre settori da monitorare con particolare attenzione nel 2025.
Monitoraggio del personale: Gli strumenti di tracciamento per il lavoro da remoto sono il principale obiettivo. Ciò include log di produttività, acquisizione dello schermo, registrazione dei tasti e strumenti di geolocalizzazione da remoto. Prima di implementare qualsiasi strumento di questo tipo, le aziende devono documentare le ragioni per cui hanno escluso opzioni meno invasive.
Trasferimenti di dati transfrontalieri: Dopo la sentenza Uber, l'AP sta verificando i meccanismi di trasferimento. Rientrano nell'ambito di applicazione le aziende che si affidano a servizi statunitensi, asiatici o di altri paesi privi di decisione di adeguatezza. Qualsiasi azienda che utilizzi strumenti software statunitensi per HR, gestione dei progetti o dati dei clienti deve disporre di una TIA aggiornata.
Decisioni automatizzate: I sistemi di credit scoring tramite IA, i filtri per le assunzioni e i sistemi di valutazione delle prestazioni attivano gli obblighi previsti dall'Articolo 22. L'AP prende di mira le organizzazioni che adottano decisioni automatizzate senza un effettivo passaggio di revisione umana. Devono essere tutelati sia i lavoratori che i consumatori.
Il BSN: un identificativo nazionale protetto
Il Burgerservicenummer (BSN) è un numero identificativo a 9 cifre utilizzato nei Paesi Bassi. Viene validato tramite l'Elfproef (controllo dell'undici). Per eseguire il controllo: si moltiplica ciascuna cifra per un peso da 9 a −1, si sommano i risultati e il totale deve essere divisibile per 11 senza resto.
La Legge sul BSN (Wet algemene bepalingen burgerservicenummer) limita l'uso del BSN a specifici contesti legali: fiscale, sanitario, governativo e paghe dei datori di lavoro. L'utilizzo del BSN al di fuori di tali contesti comporta l'applicazione della Legge sul BSN, cui si aggiunge la responsabilità ai sensi del GDPR.
Perché gli strumenti generici mancano i BSN: Molti strumenti NLP non includono il controllo Elfproef. Senza di esso, qualsiasi stringa di 9 cifre viene segnalata come possibile BSN, generando falsi positivi in documenti finanziari e amministrativi. Anche i BSN con errori di digitazione vengono ignorati: non superano il controllo ma presentano comunque uno schema apparentemente valido. Consulta la nostra guida al rilevamento PII e codici fiscali nazionali UE per un confronto completo tra i formati di identificativo europei.
NER per i testi in olandese
L'olandese (Nederlands) presenta caratteristiche che mettono in difficoltà i modelli addestrati sull'inglese.
Parole composte: In olandese le parole si uniscono. Persoonsgegevens (dati personali) e Burgerservicenummer (numero identificativo del cittadino) sono ciascuna una singola parola. I modelli progettati per l'inglese le segmentano spesso nel punto sbagliato, compromettendo il rilevamento delle entità.
Suffissi nei nomi: I suffissi -je e -tje compaiono nei nomi propri — Annetje, Hansje. I modelli per la rilevazione dei nomi devono gestire sia la forma base che quella abbreviata.
Formati degli indirizzi: I tipi di via includono Straat, Laan, Weg, Plein e Gracht. I codici postali sono composti da quattro cifre e due lettere (esempio: 1234 AB). Ogni codice corrisponde a una singola via, rendendo questi dati più identificativi rispetto alla maggior parte dei codici postali europei.
Formato IBAN: Gli IBAN olandesi sono composti da 18 caratteri: NL + 2 cifre di controllo + codice banca a 4 lettere + numero di conto a 10 cifre. Il paese ha un elevato utilizzo dei pagamenti tramite carta, pertanto i documenti finanziari contengono numerosi IBAN. Per i metodi di assegnazione di punteggi di confidenza tra i vari tipi di identificativo, consulta la guida al rilevamento binario dei PII e punteggi di confidenza.
Checklist tecnica per la conformità all'AP
Per soddisfare gli standard attuali dell'AP, i sistemi di gestione dei dati devono disporre di:
- Rilevamento del BSN con Elfproef — il solo pattern matching non è sufficiente
- NER in lingua olandese — un modello come spaCy
nl_core_newsgestisce parole composte e nomi abbreviati - Rilevamento IBAN — formato-specifico, non generico
- Registro dei sub-responsabili per tutti i trasferimenti transfrontalieri
- TIA per fornitori statunitensi — priorità di audit dell'AP dopo la sentenza Uber
Dopo il caso Uber, una TIA per i fornitori statunitensi è un requisito minimo, non una buona pratica. Per un'analisi completa della sentenza e delle sue implicazioni sui trasferimenti, consulta AP multa Uber e enforcement sui trasferimenti transfrontalieri.