Autoriteit Persoonsgegevens (AP) 2024 m. rugpjūtį skyrė Uber 290 milijonų eurų baudą. Bauda skirta už vairuotojų duomenų perdavimą į JAV serverius be galiojančio duomenų perdavimo susitarimo. Nė viena kita BDAR byla nepagimdė didesnės baudos už tarptautinį duomenų perdavimą. AP taip pat 2023 m. nagrinėjo daugiau nei 21 400 skundų. Tai daro ją viena iš labiausiai užimtų duomenų reguliuotojų Europoje.
Ką AP nustatė Uber byloje
Uber rinko duomenis iš vairuotojų Nyderlanduose ir Prancūzijoje. Duomenys apėmė vietos istoriją, asmens dokumentus, darbo užmokesčio įrašus, vairavimo įrašus ir mokesčių bylas. Visa tai buvo perkelta į JAV serverius. AP nusprendė, kad perdavimo metodas nebuvo galiojantis.
Sprendimą lėmė trys išvados:
- Silpnas perdavimo metodas: Uber naudojo Įpareigojančias įmonių taisykles (BCR). AP nustatė, kad jos neapima atitinkamų vairuotojų duomenų apimties ar jautrumo.
- Neatliktas Perdavimo poveikio vertinimas (TIA): Uber neparodė, kad JAV teisė palieka sutartas perdavimo apsaugos priemones galioti.
- Jautrus duomenų derinys: Vietos duomenys, darbo užmokestis ir veiklos vertinimai kartu suteikia išsamų kiekvieno vairuotojo vaizdą. AP šį derinį vertino kaip lygiavertį jautriam asmens duomenų lygiui.
Uber byla nustato aiškią taisyklę. Darbuotojų ir rangovų duomenys, siunčiami į JAV, reikalauja to paties TIA ir papildomų priemonių kaip ir vartotojų duomenys.
AP vykdymo prioritetai 2025 m.
Atnaujinta 2026 m.
AP nurodė tris sritis, kurias atidžiai stebi 2025 m.
Darbuotojų stebėjimas: Nuotolinio darbo sekimo įrankiai yra pagrindinis taikinys. Tai apima produktyvumo žurnalus, ekrano kopijas, klaviatūros paspaudimų sekimą ir nuotolinio buvimo vietos įrankius. Prieš diegiant bet kokį tokį įrankį, įmonės turi užfiksuoti, kodėl atmetė mažiau įkyrias alternatyvas.
Tarpvalstybinis duomenų perdavimas: Po Uber sprendimo AP tikrina perdavimo metodus. Įmonės, kurios remiasi JAV, Azijos ar kitų netinkamų šalių paslaugomis, yra stebimos. Bet kuri įmonė, naudojanti JAV programinės įrangos įrankius personalo, projektų ar klientų duomenims, turi turėti atnaujintą TIA.
Automatizuoti sprendimai: Dirbtinio intelekto kreditų vertinimas, samdymo filtrai ir veiklos sistemos suaktyvina BDAR 22 straipsnio pareigas. AP taikosi į organizacijas, kurios priima automatizuotus sprendimus be realaus žmogaus peržiūros žingsnio. Turi būti apimti tiek darbuotojai, tiek vartotojai.
BSN: apsaugotas nacionalinis identifikatorius
Burgerservicenummer (BSN) yra 9 skaitmenų asmens numeris, naudojamas Nyderlanduose. Jis tikrinamas naudojant Elfproef (vienuolik-patikros) algoritmą. Patikrai atlikti: padauginkite kiekvieną skaitmenį iš svorio nuo 9 iki -1, sudėkite rezultatus ir suma turi dalytis lygiai iš 11.
BSN įstatymas (Wet algemene bepalingen burgerservicenummer) riboja BSN naudojimą iki konkrečių teisinių kontekstų. Tai: mokesčiai, sveikatos priežiūra, valdžia ir darbdavio darbo užmokestis. BSN naudojimas už šių kontekstų ribų sukelia BSN įstatymo vykdymą. BDAR atsakomybė taikoma papildomai.
Kodėl bendrieji įrankiai praleidžia BSN: Daugelis NLP įrankių neįtraukia Elfproef patikros. Be jos, bet kokia 9 skaitmenų eilutė pažymima kaip galimas BSN. Tai sukuria klaidingus signalus finansų ir administraciniuose dokumentuose. Taip pat praleidžiami neteisingai surinkti BSN numeriai -- jie nepraeina patikros, bet vis tiek atrodo kaip galiojantis šablonas. Žr. mūsų vadovą ES nacionalinių mokesčių ID ir ADA aptikimas, kad palygintumėte Europos asmens tapatybės formatus.
NER olandų kalba
Olandų kalba (Nederlands) turi savybių, kurios klaidina anglų kalba apmokytus modelius.
Sudurtiniai žodžiai: Olandų kalba jungia žodžius kartu. Persoonsgegevens (asmens duomenys) ir Burgerservicenummer (piliečio ID numeris) -- kiekvienas yra atskiras žodis. Anglų kalbai sukurti modeliai dažnai juos padalina netinkamoje vietoje. Tai sulaužo subjektų aptikimą.
Vardų galūnės: Priesagos -je ir -tje pasitaiko varduose -- Annetje, Hansje. Vardų modeliai turi tvarkytis tiek su pagrindine forma, tiek su trumpąja forma.
Adresų formatai: Gatvių tipai apima Straat, Laan, Weg, Plein ir Gracht. Pašto kodai naudoja keturis skaitmenis ir dvi raides (pvz.: 1234 AB). Kiekvienas kodas atitinka vieną gatvę, todėl atskleidžia daugiau nei dauguma Europos pašto kodų.
IBAN formatas: Olandijos IBAN yra 18 simbolių: NL + 2 kontroliniai skaitmenys + 4 raidžių banko kodas + 10 skaitmenų sąskaitos numeris. Šalyje labai plačiai naudojamos kortelių mokėjimo sistemos. Dėl to finansiniuose dokumentuose yra daug IBAN. Pasitikėjimo balų metodų per ID tipus žr. dvejetainio ADA aptikimo ir pasitikėjimo balų suteikimo vadove.
Techninis sąrašas AP atitikčiai
Norint atitikti dabartinius AP standartus, duomenų sistemoms reikia:
- BSN aptikimas su Elfproef -- šablonų atitikimas vienas pats nėra pakankamas
- Olandų kalbos NER -- modelis, pvz., spaCy
nl_core_news, tvarko sudurtinius žodžius ir trumpuosius vardus - IBAN aptikimas -- formato atpažinimu, ne bendruoju
- Subprocesoriaus įrašai visiems tarpvalstybiniams perdavimams
- TIA JAV tiekėjams -- aktyvus AP audito prioritetas po Uber sprendimo
Po Uber, TIA JAV tiekėjams yra bazinis reikalavimas, o ne geroji praktika. Išsamią sprendimo ir jo perdavimo pasekmių apžvalgą rasite AP Uber baudos ir tarpvalstybinio perdavimo vykdymo vadove.