Kāpēc Īrija vada ES izpildi
Īrijas Datu aizsardzības komisija (DPC) ir galvenā iestāde lielākajai daļai lielo ES tehnoloģiju uzņēmumu. Tas nav nejauši.
Īrijas zemā nodokļu likme piesaistīja Apple, Google, Meta, LinkedIn un TikTok. Visi tie izveidoja savus galvenos ES birojus tur.
GDPR 60. pants padara DPC par vadošo iestādi šiem uzņēmumiem. No šī noteikuma izriet trīs lietas.
Pirmkārt, sūdzība Vācijā par Facebook nonāk Īrijas DPC, nevis Vācijas BfDI. Otrkārt, DPC sadarbojas ar citām ES iestādēm pārrobežu lietās. Treškārt, DPC lēmums pret Meta ir spēkā visā ES.
Rezultāts ir skaidrs. DPC ir izdevusi vairāk sodu naudas nekā visas pārējās ES iestādes kopā. Skatiet mūsu GDPR atbilstības pārskatu par to, kā tas ietekmē pārdevēju lēmumus.
Trīs sodi, kas nosaka 2024.–2025. gadu
530 miljoni eiro pret TikTok (2025. gada maijs): Ķīniešu inženieri piekļuva ES lietotāju datiem. Tas pārkāpa GDPR 44.–46. panta noteikumus. Šie noteikumi ierobežo pārsūtīšanu uz valstīm bez ES atbilstības lēmuma. Ķīnai nav neviena. TikTok apgalvoja, ka tai ir pietiekamas kontroles. DPC teica, ka nav.
310 miljoni eiro pret LinkedIn (2024. gada oktobris): LinkedIn paļāvās uz "leģitīmo interesi" uzvedības analīzei. DPC konstatēja, ka tas ir nederīgs. Apstrāde nebija nepieciešama norādītajam mērķim. Līdzsvara tests nebija LinkedIn labvēlīgs.
251 miljoni eiro pret Meta (2024. gada novembris): 2018. gada Facebook pārkāpums netika savlaicīgi ziņots DPC. DPC arī konstatēja, ka slikti auditācijas žurnāli padarīja neiespējamu mērīt, kas tika pakļauts.
Šie trīs pievienojās agrākajam 1,2 miljardu eiro Meta sodam no 2023. gada maija. Arī šis sods nāca no DPC — par nelikumīgām ES-ASV pārsūtīšanām. Tas joprojām ir lielākais jebkad izdotais GDPR sods.
DPC 2024. gadā apstrādāja vairāk nekā 8 500 pārrobežu lietu. Aplūkojiet mūsu drošības un atbilstības lapu, lai redzētu, kā anonym.legal apstrādā datus ES.
Ko atklāj katrs sods
Pārrobežu piekļuves kļūmes
Visiem trim sodiem ir viena galvenā problēma. Personas dati bija pieejami darbiniekiem valstīs bez ES līmeņa privātuma noteikumiem.
TikTok sods bija tiešs. ES lietotāju faili nonāca pie Ķīnas inženieriem, neraugoties uz norādītajām kontrolēm.
Ko tas nozīmē pārdevēju izvēlē: Jautājiet, vai ES pārdevēja inženieri ārpus ES var piekļūt ES lietotāju datiem normālā darba laikā. Pārdevējs var izmitināt Dublinā, bet joprojām pakļauj ES failus caur ASV bāzētu atbalsta personālu. ES atrašanās vien nav pietiekama. Mūsu vienību apstrādes rokasgrāmata parāda, kā piekļuves kontroles korelē ar GDPR 46. pantu.
Tiesiskā pamata kļūmes
LinkedIn sods nebija par pārkāpumu. Tas bija par to, kā LinkedIn pamatoja savu apstrādi.
"Leģitīmā interese" nav vispārējas tiesības. Pārziņiem jādokumentē patiess līdzsvara tests. Šim testam jāparāda, ka viņu interese pārsniedz lietotāja tiesības. Mūsu atbilstības lapa aptver, kā pārskatīt pārdevēja tiesiskā pamata apgalvojumus.
Reģistrācijas un paziņojumu kļūmes
Meta 251 miljonu eiro sods ietvēra galveno atklājumu. Slikti auditācijas žurnāli padarīja neiespējamu mērīt pārkāpuma apmēru.
GDPR 33. pants prasa pārkāpuma paziņojumu 72 stundu laikā. Šim paziņojumam jāietver ietekmēto ierakstu apmērs. Jūs nevarat ziņot apmēru, ko nevarat izmērīt.
Jautājiet potenciālajiem pārdevējiem par viņu auditācijas žurnāla struktūru. Ja pārdevējs pēc incidenta nevar atbildēt uz jautājumu "kuri dati tika pakļauti?", viņš neatbilst 33.(3)(b) panta prasībām.
Modelis DPC lietās
Izlasot visus četrus galvenos DPC sodus, parādās viens modelis. Regulatori rīkojas pret dizainiem, kur pārdevēja inženieri var redzēt lietotāju saturu. Katrā lielā sodā bija nepietiekami kontrolēta piekļuve personas datiem.
Nulles zināšanu dizains risina pamata bažas katrā gadījumā. Lietotāja saturs ir šifrēts. Pārdevējam nav atšifrēšanas atslēgu.
TikTok un Meta pārsūtīšanas lietās ES ārpus inženieri sasniedz serveri, bet redz tikai šifrētu tekstu. Neviens lasāmi dati nav pakļauti. Meta pārkāpuma lietā pilna servera uzlaušana nedod neko noderīgu. Pārkāpuma apmērs samazinās. LinkedIn gadījumā pārdevējs, kas nekad neredz vienkāršo tekstu, nevar veikt uzvedības analīzi uz tā.
Šis ir tiešs atbilde uz katru DPC darbību. anonym.legal piemēro nulles zināšanu principu pieteikšanās procesam; teksts tiek apstrādāts ES mitinātos serveros (Hetzner, Falkenstein). Skatiet mūsu drošības pārskatu sīkākai informācijai.
Ko nozīmē "galvenais uzņēmums"
Daži uzņēmumi virza savu ES struktūru, lai kontrolētu, kurai DPA ir jurisdikcija. DPC viedoklis šeit ir svarīgs.
"Galvenais uzņēmums" nav tikai uzņēmuma adrese. Tas ir vieta, kur atrodas centrālā ES vadība. Pārziņiem tas ir vieta, kur tiek pieņemti lēmumi par apstrādes mērķiem.
Uzņēmumam ar Londonas privātuma komandu var nebūt ES galvenā uzņēmuma. Katra dalībvalsts DPA varētu tad apgalvot autoritāti vietējo sūdzību gadījumā.
Pārdevēju pārskates jautājumi
Izmantojiet šos jautājumus, novērtējot SaaS pārdevējus, kas apstrādā personas datus.
Jurisdikcija un piekļuve:
- Kur atrodas pārdevēja ES galvenais uzņēmums?
- Vai ES ārpus darbinieki var piekļūt ES lietotāju datiem normālā darba laikā?
- Vai pārdevēja māte ir pakļauta CLOUD Act vai Ķīnas drošības likumiem?
Tehniskais dizains:
- Vai ES lietotāju saturs paliek ES izmitinātos serveros?
- Vai pārdevējs tur šifrēšanas atslēgas, vai to dara klients?
- Vai auditācijas žurnāli ir pietiekami detalizēti, lai izmērītu pārkāpuma apmēru?
Pārsūtīšanas ieraksti:
- Kāds GDPR 46. panta mehānisms attiecas uz jebkādām ES-ASV plūsmām?
- Vai pārdevējs ir veicis pārsūtīšanas ietekmes novērtējumu?
- Kādi papildu tehniskie pasākumi ir veikti?
DPC izpilde ir konsekventa vienā punktā. Pat uzņēmumi ar privātuma komandām un DSP saskaras ar lieliem sodiem, ja to tehniskais dizains neatbilst viņu apgalvojumiem. Skatiet mūsu gadījumu izpētes un BUJ plašākai informācijai.
anonym.legal apstrādā tekstu ES bāzētos Hetzner serveros (Falkenstein); nulles zināšanu princips attiecas uz pieteikšanos, tāpēc jūsu parole nekad neatstāj jūsu ierīci. anonym.legal darbvirsmas lietotne nolasa failus jūsu ierīcē; noteikšana notiek ES mitinātajā API.
Avoti
- Īrijas DPC — Oficiālie izpildes lēmumi — VERIFICĒTS-ĀRĒJS
- EDPB — Vienas pieturas veikala mehānisms — VERIFICĒTS-ĀRĒJS
- GDPR teksts — 33., 44.–46., 60. pants — VERIFICĒTS