L'Autorità olandese e la multa a Uber
Nell'agosto 2024, l'Autoriteit Persoonsgegevens (AP) olandese ha sanzionato Uber con €290 milioni. Uber aveva trasferito dati di autisti europei su server statunitensi senza alcuna base giuridica. I dati includevano licenze taxi, verifiche penali, cartelle cliniche e registri di viaggio.
Uber aveva continuato questi trasferimenti dopo che la sentenza Schrems II aveva invalidato il Privacy Shield UE-USA nel luglio 2020, per circa due anni. Senza Clausole Contrattuali Standard. Senza alcun meccanismo ai sensi dell'Articolo 46.
Questa è la più grande multa UE mai comminata per una violazione relativa ai trasferimenti di dati, la terza per importo nella storia del GDPR. I trasferimenti illeciti comportano ora costi enormi — non solo le violazioni dei dati in senso stretto.
Consulta la nostra guida alla conformità GDPR per una panoramica rapida.
Priorità di enforcement dell'AP
Nel 2023 l'AP ha ricevuto oltre 21.400 reclami. Si concentra su tre aree principali.
Priorità 1 — Monitoraggio dei lavoratori (43% dei casi): Molte aziende nei Paesi Bassi hanno ricevuto sanzioni dall'AP per il monitoraggio dei dipendenti. Telecamere nascoste, controllo massivo delle email e tracciamento GPS senza notifica attivano l'intervento dell'autorità. Il diritto del lavoro olandese aggiunge regole aggiuntive rispetto al GDPR.
Priorità 2 — Trasferimenti internazionali (31% dei casi): Dopo la multa a Uber e un'indagine congiunta con la DPC irlandese su Cloudflare (2023), l'AP ha intensificato la supervisione sui trasferimenti. Il settore tech di Amsterdam è particolarmente esposto: aziende cloud, fintech e startup in forte crescita rientrano tutte nell'ambito di applicazione.
Priorità 3 — Marketing e profilazione (26% dei casi): Questa area copre consenso ai cookie, targeting pubblicitario e direct marketing. L'AP adotta un'interpretazione rigorosa dell'"interesse legittimo", richiedendo test documentati con evidenze concrete.
Regole sui trasferimenti dopo Uber
Transfer Impact Assessment (TIA): L'EDPB richiede un TIA per ogni trasferimento verso un paese terzo. Il TIA deve dimostrare che il paese destinatario garantisce una protezione equivalente al diritto europeo. Secondo l'AP, un TIA deve rispondere a quattro domande:
- Quali sono le leggi sull'accesso ai dati nel paese di destinazione?
- Qual è l'estensione dei poteri delle agenzie di intelligence?
- Qual è la storia delle richieste governative al soggetto importatore dei dati?
- Quali strumenti di ricorso sono disponibili per gli interessati?
Le Clausole Contrattuali Standard da sole non bastano: Le SCC non soddisfano autonomamente i requisiti dell'Articolo 46. Se il TIA evidenzia rischi di accesso governativo, sono necessarie misure di protezione aggiuntive.
Misure tecniche aggiuntive accettate dall'AP:
- Crittografia in cui il soggetto importatore non ha accesso alle chiavi di decrittazione
- Rimozione degli identificatori diretti prima del trasferimento, in modo che il soggetto importatore non possa ricondurre i dati a una persona
- Riduzione dei dati prima del trasferimento, eliminando i campi non necessari per il soggetto importatore
La Desktop App di anonym.legal legge i file sul tuo dispositivo; il rilevamento viene eseguito sull'API ospitata nell'UE (Hetzner, Falkenstein), quindi i dati restano nell'UE. Per un'elaborazione senza alcuna connessione esterna, il nostro prodotto gemello anonym.plus funziona interamente sul dispositivo. Consulta la nostra panoramica sulla sicurezza e la conformità.
Dati dei dipendenti e diritto del lavoro olandese
Il 43% dei casi dell'AP che riguarda il monitoraggio dei lavoratori dimostra quanto GDPR e diritto del lavoro olandese si intersechino.
Tre regole si applicano alle organizzazioni con sede nei Paesi Bassi:
Approvazione del consiglio di fabbrica: Le aziende dotate di un ondernemingsraad devono ottenerne l'approvazione prima di introdurre qualsiasi strumento di monitoraggio, inclusi sistemi di IA, controllo delle email e sistemi di rilevamento presenze.
Proporzionalità: Il monitoraggio deve essere adeguato alla finalità dichiarata. Il monitoraggio occulto non è consentito. Quello palese deve essere l'opzione meno invasiva.
Limitazione delle finalità: I dati HR raccolti per una finalità non possono essere utilizzati per un'altra. È necessaria una nuova base giuridica.
Queste regole richiedono tre tipi di documenti: l'approvazione del consiglio, la verifica di proporzionalità e i controlli adottati. La nostra checklist di conformità copre tutti e tre.
Rilevamento dei PII nei Paesi Bassi
Gli strumenti PII nei Paesi Bassi devono riconoscere i formati di identificativo locali. Gli strumenti generici spesso non li rilevano:
- BSN (Burger Service Nummer): Numero di identità nazionale olandese a 9 cifre — richiede validazione del checksum
- IBAN (prefisso NL): IBAN olandese con logica di validazione propria
- Codice postale (postcode): Formato 4 cifre + spazio + 2 lettere
- DigiD: Codice di identità digitale governativo
- Numeri sanitari: Formati BGZ e EP per i dati dei pazienti
Uno strumento generico può rilevare l'IBAN ma non riuscire a validare il checksum del BSN o il formato del codice postale. Prima di trattare dati di identità nazionale, esegui test specifici sul rilevamento del BSN. Non dare per scontata la copertura.
Passi pratici per le organizzazioni olandesi
1. Audit dei trasferimenti: Censire tutti i flussi di dati verso paesi terzi. Verificare le SCC in uso. Effettuare TIA per i flussi principali. Documentare le misure tecniche aggiuntive dove un TIA evidenzia rischi.
2. Revisione del monitoraggio dei dipendenti: Censire tutti gli strumenti di monitoraggio, inclusi quelli basati su IA. Verificare la presenza dei verbali di approvazione del consiglio di fabbrica. Confermare l'esistenza per iscritto delle verifiche di proporzionalità.
3. Verifica della copertura PII: Testare il rilevamento di BSN, codici postali e IBAN negli strumenti PII in uso. Testare l'accuratezza su documenti in lingua olandese.
4. Esposizione del settore tech: Le startup dovrebbero documentare le scelte che riducono il rischio di trasferimento — cloud in regione UE e opzioni di elaborazione locale. I fornitori cloud con configurazioni UE-USA dovrebbero documentare i propri strumenti per i trasferimenti e l'approccio ai TIA.
anonym.legal elabora il testo nei data center Hetzner con sede nell'UE (Falkenstein); lo zero-knowledge vale per l'accesso, quindi la tua password non lascia mai il tuo dispositivo. Hai bisogno di elaborazione esclusivamente locale? Il nostro prodotto gemello anonym.plus funziona interamente sul tuo dispositivo; la Desktop App di anonym.legal legge i file sul tuo dispositivo; il rilevamento viene eseguito sull'API ospitata nell'UE.
Fonti
- Autoriteit Persoonsgegevens: sito ufficiale — VERIFIED-EXTERNAL
- AP: Decisione di enforcement contro Uber (agosto 2024) — VERIFIED-EXTERNAL
- EDPB: Raccomandazioni 01/2020 sulle misure supplementari — VERIFIED-EXTERNAL