DSB Австрија: Schrems и прекугранични трансфери на податоци
Австрискиот Datenschutzbehörde (DSB) е матичниот регулатор на NOYB. NOYB е скратеница за None of Your Business. Организацијата ја основа Max Schrems. Таа поднела над 1.000 GDPR-поплаки од 2018 г. DSB обработил 422 такви предмети меѓу 2022 и 2024 г.
Таа историја е важна. DSB се наоѓа во центарот на две правни битки кои веќе го преобликуваа европскиот режим за трансфер на податоци.
NOYB и DSB: Образец на дејствување
Schrems I (2015): Schrems поднел поплака за ЕУ–САД протоците на Facebook. CJEU ја укина рамката Safe Harbor. Во тој момент повеќе од 4.000 фирми ја користеле таа рамка.
Schrems II (2020): Втор предизвик го погоди Privacy Shield. Над 5.000 фирми се потпирале на него. Неговото укинување ги поттикна нови преговори. Резултатот беше ЕУ–САД рамката за заштита на приватноста на податоците (DPF). DPF стапи во сила во 2023 г.
Очекуван Schrems III (2025–2026): NOYB ја оспори одлуката за адекватност на DPF. Аргументот: FISA Section 702 сè уште е во судир со GDPR. Се очекува упатување до CJEU.
78% од предметите на DSB вклучуваат прекугранични трансфери или алатки на трети страни. Тој фокус ги разликува австриските регулатори од другите ЕУ органи.
Одлуката на DSB за Google Analytics
Одлуката на DSB за Google Analytics од јануари 2022 г. го постави образецот за трансферски предмети.
Од неа произлегоа три клучни заклучоци:
- IP-адресите се лични податоци. Дури и скратените IP-адреси можат да овозможат повторна идентификација во системите на Google. Сесиските записи го влошуваат тоа.
- Пристапот на американски продавач е трансфер. Кога американски инженери можат да пристапат до ЕУ записи за корисници, тој пристап е трансфер согласно GDPR. Тоа се однесува на поддршка, одржување и правни налози.
- SCC без TIA не се доволни. Стандардните договорни клаузули бараат Процена на влијанието на трансферот. TIA мора да покаже дека американските закони за шпионажа не ги поништуваат SCC-заштитите.
DSB ја утврди одговорноста на австрискиот оператор на страницата — не на Google. Операторот беше контролор. Тоа важи за секое ЕУ претпријатие кое вградува скрипти на трети страни. Видете го нашиот GDPR-водич за усогласеност за должностите на контролорот.
Дополнителни технички мерки
По Schrems II, EDPB објави насоки за дополнителни технички мерки. Тие се применуваат кога SCC-клаузулите сами по себе не се доволни. DSB ги спроведува тие насоки.
Три пристапи ја поминуваат проверката на DSB:
Шифрирање со клучеви чувани во ЕУ. Шифрирајте ги записите пред да ја напуштат ЕУ. Клучевите за дешифрирање чувајте ги во ЕУ. Ако американски органи го принудат продавачот да предаде досиња, тие добиваат шифриран текст кој не можат да го прочитаат.
Псевдонимизација пред трансфер. Преку граница испраќајте само псевдонимни токени. Клучот за повторна идентификација чувајте го во ЕУ. Пренесените досиња не содржат директни лични податоци.
Локална обработка. Целата обработка извршувајте ја на сервери лоцирани во ЕУ. Преку граница пренесувајте само агрегирани, вистински анонимни статистики. Никакви лични записи не ги преминуваат границите.
DSB ја потврди оваа позиција. Организациите кои користат американски SaaS-продавачи за ЕУ лични податоци мора да применат барем еден од тие пристапи. Или мора да докажат дека пренесената содржина е вистински анонимна.
Ризикот Schrems III
Фирмите кои се потпираат само на DPF се соочуваат со јасен ризик. Ако предизвикот на NOYB пред CJEU успее, тие фирми мора брзо да пронајдат нови алатки за трансфер. Тоа е токму она што се случи во 2015 и 2020 г.
Организациите кои применуваат дополнителни технички мерки се заштитени. Ако содржината е вистински анонимна, не постои GDPR-трансфер. Евентуалниот пад на DPF не им создава проблем.
За австриско работење: аналитички алатки (Google Analytics, Mixpanel, Amplitude) создаваат изложеност пред DSB. Исто важи за CRM-системи со американски матични компании (Salesforce, HubSpot). Платформи во облак каде американски персонал има администраторски пристап носат ист ризик.
Решението е исто во сите случаи. Осигурете се дека личните записи се вистински анонимни пред да стигнат до продавачот. Или шифрирајте ги со клучеви кои ги поседува единствено ЕУ контролорот. Нашиот преглед на безбедност и усогласеност објаснува како zero-knowledge дизајнот го отстранува проблемот со трансферот при самиот извор.