Холандскиот AP и Казната за Uber
Во август 2024, холандскиот AP му изрече казна на Uber €290 милиони. Uber испраќаше податоци на ЕУ возачи на сервери во САД без правна основа. Тие податоци вклучуваа возачки дозволи, проверки на криминален досие, медицински записи и дневници на патувања.
Uber ги преместил податоците по тоа што Schrems II го укина штитот EU-US Privacy Shield во јули 2020. Тие пренесувања ги одржуваше уште две години. Без Стандардни договорни клаузули. Без никаква алатка од Член 46.
Оваа казна е најголемата во ЕУ за прекршување на пренесување на податоци. Се рангира на трето место меѓу сите казни по GDPR досега. Неуспесите во пренесувањето сега носат огромни трошоци. Не само прекршувања.
Видете го нашиот водич за усогласеност со GDPR за брз преглед.
Приоритетни Области на Спроведување на AP
Холандскиот AP прими над 21.400 жалби во 2023. Се фокусира на три области.
Приоритет 1 — Следење на работниците (43% од случаите): Многу холандски фирми добија казни од AP за набљудување на своиот персонал. Скриени камери, масовни проверки на е-пошта и GPS следење без известување — сè предизвикува реакција. Холандското работничко право додава дополнителни правила на врвот на GDPR.
Приоритет 2 — Прекугранични пренесувања (31% од случаите): По казната за Uber и заедничката истрага со ирскиот DPC на Cloudflare (2023), AP го засили надзорот на пренесувањата. Технолошкиот сектор во Амстердам тука е со висок ризик. Облак фирмите, финтек и брзорастечките стартапи се сите во опсег.
Приоритет 3 — Маркетинг и профилирање (26% од случаите): Ова ги покрива согласноста за колачиња, насочување на реклами и директен маркетинг. AP зазема строг став кон "легитимниот интерес". Бара пишани тестови со јасни докази.
Правила за Пренесување По Uber
Проценки на влијанието врз пренесувањето (TIA): EDBP бара TIA за секое пренесување во трета земја. TIA мора да покаже дека дестинацијата дава заштита еднаква на законот на ЕУ. AP вели дека TIA мора да одговори на четири прашања:
- Кои се законите за пристап во земјата на дестинацијата?
- Колку далеку можат да стигнат разузнавачките агенции?
- Каква е историјата на барањата на владата до увозникот на податоци?
- Кои правни лекови можат да ги користат субјектите на податоците?
Стандардни договорни клаузули — сами по себе не се доволни: SCC сами по себе не го задоволуваат Член 46. Ако TIA покаже ризик од владин пристап, потребни се дополнителни заштитни мерки.
Дополнителни технички мерки кои AP ги прифаќа:
- Енкрипција каде увозникот нема пристап до клучевите за дешифрирање
- Отстранување на директни идентификатори пред пренесувањето за да не може увозникот да ги поврзе податоците со лице
- Намалување на податоците пред пренесувањето, отстранување на полиња кои увозникот не ги потребува
Десктоп апликацијата целата работа ја извршува на вашиот уред. Не испраќа никакви податоци надвор. Ова го отстранува проблемот со пренесувањата за таа активност. Видете го нашиот преглед на безбедност и усогласеност.
Податоци за Вработени и Холандско Работничко Право
Фокусот на AP од 43% на следење на работниците покажува како GDPR и холандското работничко право се преклопуваат.
Три правила важат за организациите базирани во Холандија:
Одобрение на работничкиот совет: Компанијата со работнички совет мора да добие негово одобрение пред да воведе каква и да е алатка за следење. Ова ги покрива алатките за ВИ, проверките на е-пошта и системите за присуство.
Соодветност за целта: Следењето мора да одговара на наведената цел. Скриеното следење не е дозволено. Отвореното следење мора да биде опцијата со најмало навлегување.
Ограничување на целта: Податоците за човечки ресурси собрани за една цел не можат да се користат за друга. Потребна е нова правна основа.
Овие правила бараат три записи: одобрението на советот, проверката на целта и контролите. Нашата листа за проверка на усогласеноста ги покрива сите три.
Откривање на PII во Холандија
Алатките за PII во Холандија мора да ракуваат со локални ID формати. Стандардните глобални алатки честопати ги пропуштаат:
- BSN (Burger Service Nummer): 9-цифрен холандски национален идентификатор — бара валидација на контролна сума
- IBAN (NL префикс): Холандски IBAN со сопствена логика за валидација
- Поштенски код (postcode): Форматот е 4 цифри + интервал + 2 букви
- DigiD: Владин код за дигитален идентитет
- Здравствени броеви: BGZ и EP формати за записи на пациенти
Генеричка алатка може да го фати IBAN но да ја пропушти контролната сума на BSN или форматот на поштенскиот код. Тестирајте го откривањето на BSN пред да обработувате податоци за национален идентитет. Не претпоставувајте покриеност.
Чекори за Холандски Организации
1. Ревизија на пренесувања: Наведете ги сите текови на податоци до трети земји. Прегледајте ги постоечките SCC. Спроведете TIA за клучни текови. Евидентирајте дополнителни технички мерки каде TIA укажува на ризик.
2. Преглед на следење на работниците: Наведете ги сите алатки за следење, вклучително ВИ. Проверете ги записите за одобрение на работничкиот совет. Потврдете дека постојат проверки на целта во пишана форма.
3. Проверка на покриеност на PII: Тестирајте го откривањето на BSN, поштенскиот код и IBAN во вашите алатки за PII. Тестирајте ја точноста на документи на холандски јазик.
4. Изложеност на технолошкиот сектор: Стартапите треба да евидентираат избори кои го намалуваат ризикот од пренесување — облак во регионот ЕУ и опции за локална обработка. Давателите на облак услуги со поставки во ЕУ-САД треба да ги документираат своите алатки за пренесување и пристапот кон TIA.
anonym.legal користи центри за податоци на Hetzner базирани во ЕУ со дизајн без знаење. Серверот никогаш не го гледа вашиот текст во обична форма. Целосно прекршување на серверот дава само шифриран текст AES-256-GCM. Потребна ви е локална обработка? Десктоп апликацијата работи целосно на вашиот уред без надворешни врски.
Извори
- Холандски AP: Официјален сајт на Autoriteit Persoonsgegevens — VERIFIED-EXTERNAL
- Холандски AP: Одлука за спроведување против Uber (август 2024) — VERIFIED-EXTERNAL
- EDPB: Препораки 01/2020 за дополнителни мерки — VERIFIED-EXTERNAL