Autoriteit Persoonsgegevens (AP) 2024. gada augustā sodīja Uber ar 290 miljonu eiro naudas sodu. Sods tika piemērots par vadītāju datu nosūtīšanu uz ASV serveriem bez derīga datu pārsūtīšanas nolīguma. Nevienā GDPR lietā nav piemērots lielāks sods par pārrobežu pārsūtīšanu. AP arī izskatīja vairāk nekā 21 400 sūdzību 2023. gadā. Tas padara to par vienu no Eiropas aizņemtākajām datu regulatorēm.
Ko AP atklāja Uber lietā
Uber vāca datus no vadītājiem Nīderlandē un Francijā. Dati ietvēra atrašanās vietas vēsturi, personu apliecinošus dokumentus, algu uzskaiti, braukšanas ierakstus un nodokļu dokumentus. Viss tika nosūtīts uz ASV serveriem. AP nosprieda, ka pārsūtīšanas metode nebija derīga.
Lēmumu noteica trīs konstatējumi:
- Vāja pārsūtīšanas metode: Uber izmantoja saistošos korporatīvos noteikumus (BCR). AP konstatēja, ka tie neaptver iesaistīto vadītāju datu apjomu un jutīgumu.
- Nav pārsūtīšanas ietekmes novērtējuma (TIA): Uber neapliecināja, ka ASV tiesību akti saglabā pārsūtīšanas aizsardzību.
- Jutīgi dati kombinācijā: Atrašanās vietas dati, alga un snieguma vērtējumi kopā veido detalizētu ainu par katru vadītāju. AP šo kombināciju uzskatīja par līdzvērtīgu jutīgiem personas datiem.
Uber lieta nosaka skaidru noteikumu. Darbinieku un darbuzņēmēju datiem, kas nosūtīti uz ASV, nepieciešams tāds pats TIA un papildu pasākumi kā patērētāju datiem.
AP izpildes prioritātes 2025. gadā
Atjaunots 2026. gadā
AP ir nosaukusi trīs jomas, kuras tā cieši uzrauga 2025. gadā.
Darbinieku uzraudzība: Attālinātā darba izsekošanas rīki ir galvenais mērķis. Tas ietver produktivitātes žurnālus, ekrāna uzņemšanu, taustiņsitienu izsekošanu un attālās atrašanās vietas rīkus. Pirms šāda rīka ieviešanas uzņēmumiem jādokumentē, kāpēc tie noraidīja mazāk uzmācīgas alternatīvas.
Pārrobežu datu pārsūtīšana: Pēc Uber sprieduma AP pārbauda pārsūtīšanas metodes. Uzņēmumi, kas paļaujas uz ASV, Āzijas vai citām valstīm bez atbilstīguma statusa, ir pārbaudāmi. Katram uzņēmumam, kas izmanto ASV programmatūras rīkus HR, projektu darbam vai klientu datiem, ir jābūt aktuālam TIA.
Automatizēti lēmumi: AI kredītu vērtēšana, darbā pieņemšanas filtri un snieguma sistēmas aktivizē 22. panta pienākumus. AP mērķauditorija ir organizācijas, kas pieņem automatizētus lēmumus bez reāla cilvēka pārskatīšanas soļa. Jāaptver gan darbinieki, gan patērētāji.
BSN: aizsargāts nacionāls identifikators
Burgerservicenummer (BSN) ir 9 ciparu ID numurs, ko izmanto Nīderlandē. To validē ar Elfproef (vienpadsmit-pierādījumu) pārbaudi. Pārbaudes veikšanai: reiziniet katru ciparu ar svara koeficientu no 9 līdz -1, saskaitiet rezultātus un kopējam skaitlim jādalās ar 11 bez atlikuma.
BSN likums (Wet algemene bepalingen burgerservicenummer) ierobežo BSN izmantošanu konkrētos juridiskajos kontekstos. Tie ir: nodokļi, veselības aprūpe, valdība un darba devēja algu saraksts. BSN izmantošana ārpus šiem kontekstiem izraisa BSN likuma piemērošanu. GDPR atbildība piemērojama papildus tam.
Kāpēc vispārēji rīki izlaiž BSN: Daudzi NLP rīki neietver Elfproef pārbaudi. Bez tās jebkurš 9 ciparu virkne tiek atzīmēta kā iespējams BSN. Tas rada viltus trauksmes finanšu un administratīvajos dokumentos. Arī kļūdaini BSN tiek izlaisti — tie neizdod pārbaudi, bet joprojām izskatās kā derīgs paraugs. Skatiet mūsu rokasgrāmatu par ES nacionālajiem nodokļu ID un PII noteikšanu, lai iegūtu pilnu salīdzinājumu visiem Eiropas ID formātiem.
NER nīderlandiešu tekstam
Nīderlandiešu valodai (Nederlands) ir iezīmes, kas rada grūtības angļu valodai apmācītiem modeļiem.
Salikteņi: Nīderlandiešu valodā vārdi tiek savienoti kopā. Persoonsgegevens (personas dati) un Burgerservicenummer (pilsoņa ID numurs) katrs ir viens vārds. Angļu valodai veidotie modeļi bieži tos sadala nepareizā vietā. Tas iznīcina entītiju noteikšanu.
Vārdu galotnes: -je un -tje sufiksi parādās priekšvārdos — Annetje, Hansje. Vārdu modeļiem jāspēj apstrādāt gan pamata formu, gan saīsināto formu.
Adrešu formāti: Ielas tipi ietver Straat, Laan, Weg, Plein un Gracht. Pasta indeksi izmanto četrus ciparus plus divus burtus (piemērs: 1234 AB). Katrs kods attiecas uz vienu ielu, tāpēc atklāj vairāk nekā lielākā daļa Eiropas pasta indeksu.
IBAN formāts: Nīderlandes IBAN ir 18 rakstzīmes: NL + 2 pārbaudes cipari + 4 burtu bankas kods + 10 ciparu konta numurs. Valstī ir augsts karšu maksājumu apjoms. Tā rezultātā finanšu dokumenti satur daudzus IBAN. Lai uzzinātu par ticamības novērtēšanas metodēm dažādiem ID tipiem, skatiet binārā PII noteikšana un ticamības novērtēšana.
Tehniskais kontrolsaraksts AP atbilstībai
Lai izpildītu pašreizējos AP standartus, datu sistēmām nepieciešams:
- BSN noteikšana ar Elfproef — tikai parauga saskaņošana nav pietiekama
- NER nīderlandiešu valodā — modelis, piemēram, spaCy
nl_core_news, apstrādā salikteņus un saīsinātus vārdus - IBAN noteikšana — formātam pielāgota, nevis vispārīga
- Apakšprocesoru ieraksti visām pārrobežu pārsūtīšanām
- TIA ASV piegādātājiem — aktuāla AP revīzijas prioritāte pēc Uber sprieduma
Pēc Uber lietas TIA ASV piegādātājiem ir pamatprasība, nevis labākā prakse. Pilnīgam sprieduma un pārsūtīšanas seku pārskatam skatiet AP Uber sods un pārrobežu pārsūtīšanas izpilde.