Kodėl Airija pirmauja ES vykdyme
Airijos Duomenų apsaugos komisija (DPC) yra pirmaujanti institucija daugumai didelių ES technologijų kompanijų. Tai nėra atsitiktinumas.
Airijos mažas mokesčių tarifas pritraukė Apple, Google, Meta, LinkedIn ir TikTok. Visos jos įsteigė savo pagrindines ES biurus čia.
BDAR 60 straipsnis daro DPC pirmaujančia institucija šioms firmoms. Iš šios taisyklės kyla trys dalykai.
Pirma, skundas Vokietijoje dėl Facebook patenka į Airijos DPC, o ne Vokietijos BfDI. Antra, DPC bendradarbiauja su kitomis ES institucijomis tarpvalstybiniais atvejais. Trečia, DPC sprendimas prieš Meta taikomas visoje ES.
Rezultatas aiškus. DPC skyrė daugiau baudų vertės nei visos kitos ES institucijos kartu. Žr. mūsų BDAR atitikties apžvalgą, kaip tai formuoja tiekėjų sprendimus.
Trys baudos, apibrėžiančios 2024–2025 m.
530 mln. eurų prieš TikTok (2025 m. gegužė): Kinijos inžinieriai pasiekė ES naudotojų duomenis. Tai pažeidė BDAR 44–46 straipsnius. Tos taisyklės apriboja perdavimus į šalis be ES tinkamumo sprendimo. Kinija jo neturi. TikTok tvirtino turinti tinkamas kontrolės priemones. DPC sakė, kad jų neturėjo.
310 mln. eurų prieš LinkedIn (2024 m. spalis): LinkedIn rėmėsi "teisėtu interesu" elgesio analizei. DPC tai laikė negaliojančiu. Tvarkymas nebuvo reikalingas deklaruotam tikslui. Balanso testas nepalankus LinkedIn.
251 mln. eurų prieš Meta (2024 m. lapkritis): 2018 m. Facebook pažeidimas nebuvo laiku praneštas DPC. DPC taip pat nustatė, kad prasti audito žurnalai padarė neįmanomą išmatuoti, kas buvo atskleista.
Šios trys prisijungė prie ankstesnės 1,2 mlrd. eurų Meta baudos iš 2023 m. gegužės. Ta bauda taip pat buvo iš DPC už neteisėtus ES ir JAV perdavimus. Ji išlieka didžiausia kada nors skirta BDAR bauda.
DPC 2024 m. tvarkė daugiau nei 8 500 tarpvalstybinių atvejų. Naršykite mūsų saugumo ir atitikties puslapį, kaip nulinių žinių dizainas sprendžia kiekvieną gedimą.
Ką kiekviena bauda atskleidžia
Tarpvalstybinės prieigos gedimai
Visi trys baudos dalijasi vienu pagrindiniu klausimu. Asmens duomenys buvo prieinami darbuotojams šalyse be ES lygio privatumo taisyklių.
TikTok bauda buvo tiesioginė. ES naudotojų failai pasiekė Kinijos inžinierius nepaisant deklaruotų kontrolės priemonių.
Ką tai reiškia renkantis tiekėją: Paklauskite, ar ne ES inžinieriai gali pasiekti ES naudotojų duomenis įprastoje darbo eigoje. Tiekėjas gali priimti Dubline, bet vis tiek atskleisti ES failus per JAV palaikymo darbuotojus. Vien ES buvimas nepakanka. Mūsų objektų apdorojimo vadovas rodo, kaip prieigos kontrolė atitinka BDAR 46 straipsnį.
Teisinio pagrindo gedimai
LinkedIn bauda nebuvo susijusi su pažeidimu. Ji buvo susijusi su tuo, kaip LinkedIn pagrindė savo tvarkymą.
"Teisėtas interesas" nėra universali teisė. Valdytojai turi dokumentuoti tikrą balanso testą. Tas testas turi parodyti, kad jų interesas viršija naudotojo teises. Mūsų atitikties puslapis apima, kaip peržiūrėti tiekėjo teisinio pagrindo tvirtinimus.
Registravimo ir pranešimo gedimai
Meta 251 mln. eurų baudoje buvo pagrindinis radinys. Prasti audito žurnalai padarė neįmanomą išmatuoti pažeidimo apimtį.
BDAR 33 straipsnis reikalauja pranešimo apie pažeidimą per 72 valandas. Tas pranešimas turi apimti paveiktų duomenų apimtį. Negalima pranešti apie apimtį, kurios negalima išmatuoti.
Klauskite potencialių tiekėjų apie jų audito žurnalo struktūrą. Jei tiekėjas po incidento negali atsakyti "kokie duomenys buvo atskleisti?", jis neatitinka 33 straipsnio 3 dalies b punkto.
Modelis visuose DPC atvejuose
Perskaitę visas keturias pagrindines DPC baudas, matysite vieną modelį. Reguliuotojai veikia prieš dizainą, kai tiekėjo inžinieriai gali matyti naudotojo turinį. Kiekviena pagrindinė bauda susijusi su prastai kontroliuojama prieiga prie asmens duomenų.
Nulinių žinių dizainas sprendžia pagrindinį rūpestį kiekvienu atveju. Naudotojo turinys yra šifruotas. Tiekėjas nelaiko iššifravimo raktų.
TikTok ir Meta perdavimų atvejais ne ES inžinieriai pasiekia serverį, bet mato tik šifrogramą. Jokie skaitomi duomenys neatskleisti. Meta pažeidimo atveju pilnas serverio pažeidimas nieko naudingo neduoda. Pažeidimo apimtis susiaurėja. LinkedIn atveju tiekėjas, niekada nematantis paprasto teksto, negali vykdyti elgesio analizės.
Tai tiesioginis atsakymas į kiekvieną DPC veiksmą. Žr. mūsų saugumo apžvalgą dėl detalių arba mūsų įkūrėjo pareiškimą, kodėl anonym.legal buvo sukurtas tokiu būdu nuo pat pradžių.
Ką reiškia "pagrindinė buveinė"
Kai kurios įmonės nukreipia savo ES struktūrą, kad kontroliuotų, kuri DPA turi jurisdikciją. DPC požiūris čia svarbus.
"Pagrindinė buveinė" nėra tik įmonės adresas. Tai yra vieta, kur sėdi centrinė ES vadovybė. Valdytojams tai yra vieta, kur priimami sprendimai dėl tvarkymo tikslų.
Firma su Londono privatumo komanda gali neturėti ES pagrindinės buveinės. Kiekvienos valstybės narės DPA gali tada pareikšti jurisdikciją dėl vietinių skundų.
Tiekėjų peržiūros klausimai
Naudokite šiuos klausimus vertindami SaaS tiekėjus, tvarkančius asmens duomenis.
Jurisdikcija ir prieiga:
- Kur yra tiekėjo ES pagrindinė buveinė?
- Ar ne ES darbuotojai gali pasiekti ES naudotojų duomenis įprastoje darbo eigoje?
- Ar tiekėjo patronuojančioji bendrovė yra pavaldi JAV CLOUD aktui ar Kinijos saugumo įstatymams?
Techninis dizainas:
- Ar ES naudotojo turinys lieka ES serveriuose?
- Ar tiekėjas laiko šifravimo raktus, ar klientas?
- Ar audito žurnalai yra pakankamai išsamūs, kad galima būtų išmatuoti pažeidimo apimtį?
Perdavimo įrašai:
- Koks BDAR 46 straipsnio mechanizmas apima ES ir JAV srautus?
- Ar tiekėjas atliko Perdavimo poveikio vertinimą?
- Kokios papildomos techninės priemonės yra taikomos?
DPC vykdymas yra nuoseklus vienu klausimu. Net firmos su privatumo komandomis ir DAP sulaukia didelių baudų, kai jų techninis dizainas neatitinka jų tvirtinimų. Žr. mūsų atvejų tyrimus ir DUK.
anonym.legal naudoja ES pagrindu veikiančius Hetzner serverius su nulinių žinių dizainu. Serveriai laiko tik AES-256-GCM šifrogramą. Pilnas pažeidimas neatskleidžia jokių skaitomų duomenų. Darbalaukio programa apdoroja visą turinį įrenginyje be išorinių ryšių.