Nyderlandų AP ir Uber bauda
2024 m. rugpjūtį Nyderlandų AP skyrė Uber 290 mln. eurų baudą. Uber siuntė ES vairuotojų duomenis į JAV serverius be jokio teisinio pagrindo. Šie duomenys apėmė taksi licencijas, kriminalinius patikrinimus, medicinos įrašus ir kelionių žurnalus.
Uber perkėlė duomenis po to, kai Schrems II 2020 m. liepą panaikino ES ir JAV privatumo skydo susitarimą. Šie perdavimai tęsėsi dvejus metus. Jokių standartinių sutarčių sąlygų. Jokio 46 straipsnio instrumento.
Ši bauda yra didžiausia ES bauda už duomenų perdavimo pažeidimą. Ji užima trečiąją vietą tarp visų kada nors skirtų BDAR baudų. Perdavimo pažeidimai dabar kainuoja labai brangiai. Ne tik pažeidimai.
Žr. mūsų BDAR atitikties vadovą greitai apžvalgai.
AP vykdymo prioritetinės sritys
2023 m. Nyderlandų AP gavo daugiau nei 21 400 skundų. Ji susitelkia į tris sritis.
1 prioritetas – Darbuotojų stebėsena (43% atvejų): Daugelis Nyderlandų firmų sulaukė AP baudų už darbuotojų stebėjimą. Paslėptos kameros, masiniai el. pašto tikrinimai ir GPS sekimas be pranešimo – visa tai sukelia veiksmą. Nyderlandų darbo teisė papildo BDAR papildomais reikalavimais.
2 prioritetas – Tarpvalstybiniai perdavimai (31% atvejų): Po Uber baudos ir bendro tyrimo su Airijos DPC dėl Cloudflare (2023 m.), AP sustiprino perdavimų priežiūrą. Amsterdamo technologijų sektorius čia patiria didelę riziką. Debesų kompiuterijos firmos, finansinės technologijos ir sparčiai augantys startuoliai – visi yra pateikiami.
3 prioritetas – Rinkodara ir profiliavimas (26% atvejų): Tai apima slapukų sutikimą, reklamos taikymą ir tiesioginę rinkodarą. AP laikosi griežto požiūrio į "teisėtą interesą". Ji reikalauja rašytinių testų su aiškiais įrodymais.
Perdavimo taisyklės po Uber
Perdavimo poveikio vertinimai (TIA): EDPB reikalauja TIA kiekvienam perdavimui į trečiąją šalį. TIA turi parodyti, kad tikslinis kraštas teikia lygiavertę apsaugą ES teisei. AP sako, kad TIA turi atsakyti į keturis klausimus:
- Kokie yra paskirties šalies prieigos įstatymai?
- Kiek toli gali siekti žvalgybos agentūros?
- Koks yra vyriausybinių prašymų duomenų importuotojui istorinis įrašas?
- Kokias teisines gynimo priemones gali naudoti duomenų subjektai?
Standartinės sutarties sąlygos – nepakankamos pačios savaime: Vien SSS neatitinka 46 straipsnio. Jei TIA rodo vyriausybinės prieigos riziką, reikalingos papildomos apsaugos priemonės.
Papildomos techninės priemonės, kurias AP priima:
- Šifravimas, kai importuotojas neturi prieigos prie iššifravimo raktų
- Tiesioginių identifikatorių pašalinimas prieš perdavimą, kad importuotojas negalėtų susieti duomenų su konkrečiu asmeniu
- Duomenų sumažinimas prieš perdavimą, pašalinant laukus, kurių importuotojui nereikia
anonym.legal darbalaukio programa skaito failus jūsų įrenginyje; aptikimas vykdomas ES talpinamoje API (Hetzner, Falkenstein), todėl duomenys lieka ES. Apdorojimui be jokio išorinio ryšio mūsų seserinis produktas anonym.plus veikia visiškai įrenginyje. Žr. mūsų saugumo ir atitikties apžvalgą.
Darbuotojų duomenys ir Nyderlandų darbo teisė
AP 43% dėmesys darbuotojų stebėsenai rodo, kaip BDAR ir Nyderlandų darbo teisė persipina.
Trys taisyklės taikomos Nyderlanduose įsikūrusioms organizacijoms:
Darbo tarybos patvirtinimas: Įmonė su darbo taryba turi gauti jos patvirtinimą prieš diegdama bet kokią stebėsenos priemonę. Tai apima DI priemones, el. pašto tikrinimą ir lankomumo sistemas.
Tinkamumo reikalavimai: Stebėsena turi atitikti nurodytą tikslą. Paslėpta stebėsena neleidžiama. Atvira stebėsena turi būti mažiausiai į privatumą kišanti galimybė.
Tikslo apribojimas: Personalo duomenys, surinkti vienu tikslu, negali būti naudojami kitu. Reikalingas naujas teisinis pagrindas.
Šios taisyklės reikalauja trijų dokumentų: tarybos patvirtinimo, tikslo patikrinimo ir kontrolės priemonių. Mūsų atitikties kontrolinis sąrašas apima visus tris.
Nyderlandų asmens duomenų aptikimas
Asmens duomenų priemonės Nyderlanduose turi tvarkyti vietinius ID formatus. Standartiniai globalūs įrankiai dažnai jų praleiskia:
- BSN (Burger Service Nummer): 9 skaitmenų Nyderlandų nacionalinis ID – reikalauja kontrolinės sumos patvirtinimo
- IBAN (NL prefiksas): Nyderlandų IBAN su sava patvirtinimo logika
- Pašto kodas (postcode): Formatas yra 4 skaitmenys + tarpas + 2 raidės
- DigiD: Vyriausybinis skaitmeninis tapatybės kodas
- Sveikatos priežiūros numeriai: BGZ ir EP formatai pacientų įrašams
Generinis įrankis gali aptikti IBAN, bet praleisti BSN kontrolinę sumą ar pašto kodo formatą. Prieš apdorodami nacionalinės tapatybės duomenis, išbandykite BSN aptikimą. Nedarykite prielaidų apie aprėptį.
Žingsniai Nyderlandų organizacijoms
1. Perdavimų auditas: Surašykite visus duomenų srautus į trečiąsias šalis. Peržiūrėkite galiojančias SSS. Atlikite TIA svarbiausiems srautams. Dokumentuokite papildomas technines priemones, kai TIA nurodo riziką.
2. Darbuotojų stebėsenos peržiūra: Surašykite visas stebėsenos priemones, įskaitant DI. Patikrinkite darbo tarybos patvirtinimo įrašus. Patvirtinkite, kad tikslo patikrinimai yra raštu.
3. Asmens duomenų aprėpties patikrinimas: Išbandykite BSN, pašto kodo ir IBAN aptikimą savo asmens duomenų priemonėse. Išbandykite tikslumą olandų kalbos dokumentuose.
4. Technologijų sektoriaus poveikis: Startuoliai turėtų dokumentuoti sprendimus, mažinančius perdavimo riziką – ES regiono debesų ir vietinio apdorojimo galimybes. Debesų kompiuterijos tiekėjai su ES ir JAV nustatymais turėtų dokumentuoti savo perdavimo priemones ir TIA požiūrį.
anonym.legal tvarko tekstą ES bazuotuose Hetzner duomenų centruose (Falkenstein); nulinių žinių principas taikomas prisijungimui, todėl jūsų slaptažodis niekada nepalieka jūsų įrenginio. Reikia vietinio apdorojimo? Mūsų seserinis produktas anonym.plus veikia visiškai jūsų įrenginyje; anonym.legal darbalaukio programa skaito failus jūsų įrenginyje; aptikimas vykdomas ES talpinamoje API.