Autoriteit Persoonsgegevens (AP) ја казна Uber со €290 милиони во август 2024 година. Глобата беше изречена поради испраќање на податоци за возачи на американски сервери без валидна спогодба за пренос. Ниту еден случај според GDPR не произвел поголема глоба за прекугранично пренесување. AP исто така постапуваше по над 21.400 жалби во 2023 година. Тоа го прави еден од најзафатените регулатори за заштита на податоци во Европа.
Што откри AP во случајот Uber
Uber собирал податоци од возачи во Холандија и Франција. Податоците опфаќале историја на локација, документи за идентитет, записи за плата, возачки досиеја и даночни досиеја. Сето тоа се пренасочувало на американски сервери. AP заклучи дека методот на пренос не бил валиден.
Три наоди ја поткрепиле одлуката:
- Слаб метод на пренос: Uber користел Обврзувачки корпоративни правила (BCR). AP утврди дека тие не го покривале обемот или чувствителноста на засегнатите податоци за возачите.
- Отсуство на Процена на влијанието на преносот (TIA): Uber не покажал дека американскиот закон ги одржал договорените заштити на преносот.
- Чувствителни податоци преку комбинација: Историјата на локација, платата и оценките за успешност заедно даваат детална слика за секој возач. AP ова мешање го третирал рамноправно со чувствителни лични податоци.
Случајот Uber воспоставува јасно правило. Податоците за вработени и договорни работници испратени во САД бараат исти TIA и дополнителни мерки како и потрошувачките податоци.
Приоритети на AP за спроведување за 2025 година
Ажурирано за 2026 година
AP именувал три области кои ги следи внимателно во 2025 година.
Надзор над вработените: Алатките за следење на далечинска работа се главна цел. Ова вклучува дневници на продуктивност, снимање на екран, евидентирање на притиски на тастатура и алатки за далечинска локација. Пред воведување на каква било таква алатка, компаниите мора да евидентираат зошто ги отфрлиле помалку наметливите опции.
Прекугранично пренесување на податоци: По пресудата за Uber, AP ги проверува методите на пренос. Во опфат се компаниите кои се потпираат на американски, азиски или услуги од земји со несоодветна заштита. Секоја компанија која користи американски софтверски алатки за ЧР, проектна работа или податоци за клиенти мора да има тековна TIA.
Автоматизирани одлуки: Автоматизирани системи за кредитно рангирање, филтри за вработување и системи за евалуација на успешност ги активираат обврските од член 22. AP ги таргетира организации кои донесуваат автоматизирани одлуки без реален чекор на човечка ревизија. Мора да бидат опфатени и работниците и потрошувачите.
BSN: Заштитен национален идентификатор
Burgerservicenummer (BSN) е 9-цифрен идентификациски број кој се користи во Холандија. Се валидира со помош на Elfproef (проверка со единаесет). За да се изврши проверката: секоја цифра се множи со тежина од 9 надолу до −1, резултатите се собираат и вкупниот збир мора рамномерно да се дели со 11.
Законот за BSN (Wet algemene bepalingen burgerservicenummer) ја ограничува употребата на BSN на специфични правни контексти. Тие се: даноци, здравствена заштита, влада и исплата на плати од страна на работодавачот. Употребата на BSN надвор од тие контексти предизвикува спроведување на Законот за BSN. Одговорноста според GDPR се применува дополнително.
Зошто генеричките алатки пропуштаат BSN: Многу NLP алатки не ја вклучуваат проверката Elfproef. Без неа, секоја 9-цифрена низа се означува како можен BSN. Тоа создава лажни аларми во финансиски и административни документи. Исто така се пропуштаат погрешно внесени BSN броеви. Тие не ја поминуваат проверката но сепак изгледаат како валиден образец. Погледнете го нашиот водич за откривање на национални даночни идентификатори и ЛП во ЕУ за целосна споредба низ европски формати на идентификатори.
NER за холандски текст
Холандскиот (Nederlands) има карактеристики кои им задаваат проблеми на моделите обучени на англиски.
Сложени зборови: Холандскиот ги спојува зборовите заедно. Persoonsgegevens (лични податоци) и Burgerservicenummer (идентификациски број на граѓанин) се секој по себе еден збор. Моделите изградени за англиски јазик честопати ги делат на погрешно место. Тоа го нарушува откривањето на ентитети.
Наставки за имиња: Наставките -je и -tje се јавуваат во личните имиња — Annetje, Hansje. Моделите за имиња треба да ги обработуваат и основната форма и скратената форма.
Формати на адреси: Типовите улици вклучуваат Straat, Laan, Weg, Plein и Gracht. Поштенските кодови користат четири цифри плус две букви (пример: 1234 AB). Секој код се поврзува со една улица, па открива повеќе отколку повеќето европски поштенски кодови.
Формат на IBAN: Холандските IBAN-ови имаат 18 знаци: NL + 2 проверни цифри + 4-буквена банкарска шифра + 10-цифрена сметка. Земјата има висока употреба на картично плаќање. Финансиските документи затоа содржат многу IBAN-ови.
Техничка листа за проверка за усогласеност со AP
За да ги исполнат тековните стандарди на AP, системите за податоци треба:
- Откривање BSN со Elfproef — само совпаѓање на шаблони не е доволно
- NER за холандски јазик — модел како spaCy
nl_core_newsги обработува сложените зборови и имиња во скратена форма - Откривање на IBAN — свесно за форматот, не генеричко
- Записи за подизведувачи за сите прекугранични преноси
- TIA за американски добавувачи — приоритет на живите ревизии на AP по пресудата за Uber
По случајот Uber, TIA за американски добавувачи е основен услов, а не препорачана практика. За целосен преглед на пресудата и нејзините импликации за пренос, погледнете Глобата на AP за Uber и спроведувањето на прекугранични преноси.