Nīderlandes AP un Uber sods
- gada augustā Nīderlandes AP piemēroja Uber 290 miljonu eiro sodu. Uber nosūtīja ES vadītāju datus uz ASV serveriem bez tiesiskā pamata. Šie dati ietvēra taksometru licences, kriminālās pārbaudes, medicīniskos ierakstus un ceļojumu žurnālus.
Uber pārsūtīja datus pēc tam, kad Schrems II 2020. gada jūlijā atcēla ES-ASV Privātuma vairogu. Tas turpināja šīs pārsūtīšanas divus gadus. Bez standarta līguma klauzulām. Bez jebkāda 46. panta instrumenta.
Šis sods ir ES lielākais par datu pārsūtīšanas pārkāpumu. Tas ierindojas trešajā vietā starp visiem GDPR sodiem jebkad. Pārsūtīšanas kļūmes tagad rada milzīgas izmaksas. Ne tikai pārkāpumi.
Skatiet mūsu GDPR atbilstības rokasgrāmatu ātram pārskatam.
AP izpildes prioritārās jomas
Nīderlandes AP 2023. gadā saņēma vairāk nekā 21 400 sūdzību. Tā koncentrējas uz trim jomām.
1. prioritāte — Darbinieku uzraudzība (43% gadījumu): Daudzi Nīderlandes uzņēmumi ir saņēmuši AP sodus par darbinieku novērošanu. Slēptas kameras, lielapjoma e-pasta pārbaudes un GPS izsekošana bez paziņojuma — visi tie izraisa darbību. Nīderlandes darba tiesības pievieno papildu noteikumus virs GDPR.
2. prioritāte — Pārrobežu pārsūtīšana (31% gadījumu): Pēc Uber soda un kopīgās izmeklēšanas ar Īrijas DPC par Cloudflare (2023), AP pastiprināja pārsūtīšanas uzraudzību. Amsterdamas tehnoloģiju sektors šeit saskaras ar augstu risku. Mākoņpakalpojumu uzņēmumi, fintech un strauju izaugsmi piedzīvojoši startapi — visi ir darbības jomā.
3. prioritāte — Mārketings un profilēšana (26% gadījumu): Tas aptver sīkfailu piekrišanu, reklāmas mērķēšanu un tiešo mārketingu. AP pieņem stingru skatījumu uz "leģitīmo interesi". Tā prasa rakstiskus testus ar skaidriem pierādījumiem.
Pārsūtīšanas noteikumi pēc Uber
Pārsūtīšanas ietekmes novērtējumi (TIA): EDPB prasa TIA katrai pārsūtīšanai uz trešo valsti. TIA jāparāda, ka galamērķis nodrošina ES tiesībām līdzvērtīgu aizsardzību. AP norāda, ka TIA ir jāatbild uz četriem jautājumiem:
- Kādi ir piekļuves likumi galamērķa valstī?
- Cik tālu var sasniegt izlūkošanas dienesti?
- Kāda ir valdības pieprasījumu vēsture datu importētājam?
- Kādas juridiskās tiesiskās aizsardzības līdzekļi ir pieejami datu subjektiem?
Standarta līguma klauzulas — nav pietiekamas pašas par sevi: SCC vien neapmierina 46. pantu. Ja TIA norāda uz valdības piekļuves risku, nepieciešami papildu aizsardzības pasākumi.
Papildu tehniskie pasākumi, ko AP pieņem:
- Šifrēšana, kur importētājam nav piekļuves atšifrēšanas atslēgām
- Tiešo ID noņemšana pirms pārsūtīšanas, lai importētājs nevarētu saistīt datus ar personu
- Datu samazināšana pirms pārsūtīšanas, samazinot laukus, kas importētājam nav nepieciešami
Bezsaistes darbvirsmas lietotne veic visu darbu jūsu ierīcē. Tā nesūta datus ārpusē. Tas novērš pārsūtīšanas problēmu šai darbībai. Skatiet mūsu drošības un atbilstības pārskatu.
Darbinieku dati un Nīderlandes darba tiesības
AP 43% fokuss uz darbinieku uzraudzību parāda, kā GDPR un Nīderlandes darba tiesības pārklājas.
Trīs noteikumi attiecas uz Nīderlandes organizācijām:
Darba padomes apstiprinājums: Uzņēmumam ar darba padomi jāsaņem tās apstiprinājums pirms jebkura uzraudzības rīka ieviešanas. Tas aptver AI rīkus, e-pasta pārbaudes un apmeklētības sistēmas.
Atbilstība mērķim: Uzraudzībai jāatbilst tās norādītajam mērķim. Slēpta uzraudzība nav atļauta. Atklātajai uzraudzībai jābūt vismazāk invazīvajam variantam.
Nolūka ierobežojums: HR datus, kas savākti vienam mērķim, nevar izmantot citam. Nepieciešams jauns tiesiskais pamats.
Šie noteikumi prasa trīs ierakstus: padomes apstiprinājumu, mērķa pārbaudi un kontroles. Mūsu atbilstības kontrolsaraksts aptver visus trīs.
Nīderlandes personas datu atklāšana
Personas datu rīkiem Nīderlandē jāapstrādā vietējie ID formāti. Standarta globālie rīki bieži tos palaiž garām:
- BSN (Burger Service Nummer): 9 ciparu Nīderlandes nacionālais ID — prasa pārbaudes summas validāciju
- IBAN (NL prefikss): Nīderlandes IBAN ar savu validācijas loģiku
- Pasta kods (postcode): Formāts ir 4 cipari + atstarpe + 2 burti
- DigiD: Valdības digitālās identitātes kods
- Veselības aprūpes numuri: BGZ un EP formāti pacienta ierakstiem
Vispārējs rīks var atklāt IBAN, bet palaist garām BSN pārbaudes summu vai pasta koda formātu. Testējiet BSN atklāšanu pirms nacionālo identitātes datu apstrādes. Neuzņemieties pārklājumu.
Soļi Nīderlandes organizācijām
1. Pārsūtīšanas audits: Uzskaitiet visas datu plūsmas uz trešajām valstīm. Pārskatiet esošās SCC. Veiciet TIA galvenajām plūsmām. Ierakstiet papildu tehniskos pasākumus, kur TIA norāda uz risku.
2. Darbinieku uzraudzības pārskats: Uzskaitiet visus uzraudzības rīkus, ieskaitot AI. Pārbaudiet darba padomes apstiprinājuma ierakstus. Apstipriniet, ka mērķa pārbaudes pastāv rakstveidā.
3. Personas datu pārklājuma pārbaude: Testējiet BSN, pasta koda un IBAN atklāšanu savos personas datu rīkos. Testējiet precizitāti uz nīderlandiešu valodas dokumentiem.
4. Tehnoloģiju sektora pakļautība: Startapiem jādokumentē izvēles, kas samazina pārsūtīšanas risku — ES reģiona mākonis un lokālās apstrādes iespējas. Mākoņpakalpojumu sniedzējiem ar ES-ASV iestatījumiem jādokumentē viņu pārsūtīšanas rīki un TIA pieeja.
anonym.legal izmanto ES bāzētus Hetzner datu centrus ar nulles zināšanu dizainu. Serveris nekad neredz jūsu vienkārša teksta saturu. Pilnīga servera uzlaušana iegūst tikai AES-256-GCM šifrētu tekstu. Vai nepieciešama tikai lokāla apstrāde? Darbvirsmas lietotne darbojas pilnībā jūsu ierīcē bez ārējiem savienojumiem.
Avoti
- Nīderlandes AP: Autoriteit Persoonsgegevens oficiālā vietne — VERIFICĒTS-ĀRĒJS
- Nīderlandes AP: Uber izpildes lēmums (2024. gada augusts) — VERIFICĒTS-ĀRĒJS
- EDPB: 01/2020 ieteikumi par papildu pasākumiem — VERIFICĒTS-ĀRĒJS