Казна од 530M евра за TikTok: суверенитет на податоци под GDPR

Пресудата за TikTok која го смени суверенитетот на податоци

Ажурирано за 2026 година

Во мај 2025 година, ирската Комисија за заштита на податоци го казна TikTok со 530 милиони евра. Причината беше едноставна. TikTok испратил информации на корисниците во ЕУ во Кина без соодветни заштитни мерки.

Ова е втората по големина поединечна казна според GDPR досега. Само казната за Meta од 1.2 милијарди евра од 2023 година е поголема. Ирската DPC ја издала и неа - за испраќање записи на корисниците во ЕУ до серверите на Facebook во САД.

Обата случаи споделуваат јасна шема. Прекуграничните трансфери без соодветни заштитни мерки привлекуваат највисоки казни. Регулаторите ќе продолжат да притискаат сè додека компаниите не се сменат.

Вкупните казни за GDPR достигнале 5.65 милијарди евра до 2025 година. Спроведувањето повеќе не е ризик во позадина. Тоа е активен трошок на правење бизнис. Погледни го нашиот практичен GDPR водич за усогласеност.

Што одлучи предметот TikTok

Овој предмет не бил за прекршување. Бил за тоа каде одат корисничките датотеки и правната основа за нивно преместување преку граници.

TikTok складирал датотеки на корисниците во ЕУ на сервери. Персоналот во Кина можел да пристапи до тие сервери. Членови 44-46 од GDPR ги ограничуваат трансферите до земји без одлука на ЕУ за адекватност. Кина нема таква одлука. TikTok рекол дека имал адекватни технички мерки. Регулаторите рекле не.

Поуката е едноставна. Хостингот во ЕУ не е доволен ако персоналот надвор од ЕУ може да пристапи до датотеките. Исто така не е доволен ако компанијата мора да ги почитува законите на земја без одлука за адекватност.

Ова е важно кога избираш SaaS добавувачи. Добавувачот може да каже "хостираме во ЕУ." Но ако нивната матична компанија е лоцирана на друго место, истиот ризик важи. Ако нивниот персоналот за поддршка пристапува до корисничките датотеки надвор од ЕУ, истиот ризик важи. Нивните клиенти го делат тој ризик. Провери ја нашата листа за проверка на усогласеност пред да потпишеш DPA.

Казни за GDPR: 5.65 милијарди евра и повеќе

Регулаторите преминаа од поставување правила на нивно спроведување. Прекршувањата при трансфери сега привлекуваат највисоки казни. Дознај како се справуваме со безбедноста и заштитните мерки.

Германија, Швајцарија и секторски правила

Членови 44-46 од GDPR важат за сите сектори. Но некои индустрии се соочуваат со дополнителни правила покрај GDPR.

Германско здравство: Книга V на Социјалниот законик (SGB V) ги ограничува здравствените документи на германски контролирани системи. Германска осигурителна компанија може да користи алатка за де-идентификација на облак во Даблин - тоа е ЕУ. Но сепак може да го прекрши SGB V ако сопственикот на алатката е германска компанија.

Швајцарско банкарство: Член 47 од Законот за банкарство забранува споделување на клиентски документи со надворешни страни. Тоа вклучува давачи на облак без експлицитна согласност на клиентот. Датотеките на клиентите на швајцарска банка, дури и во алатка хостирана во ЕУ, може да го активираат овој закон.

Германски јавен сектор: Насоките на BfDI ги ограничуваат владините документи на владини системи. Алатка за де-идентификација на серверите на комерцијален давател на облак во ЕУ не го исполнува овој стандард.

Поуката: Усогласеноста со GDPR е минимумот, не максимумот. Многу сектори се соочуваат со построги правила. Нашиот преглед на обработка на ентитети ги мапира правилата кои важат по сектор.

Кои земји имаат одлука за адекватност?

GDPR им дозволува на земјите слободно да разменуваат информации за корисниците ако Европската комисија каже дека обезбедуваат еднаква заштита. Овие земји се квалификуваат:

Андора, Аргентина, Канада (комерцијални групи), Фарски острови, Гернзи, Израел, Остров Мен, Јапонија, Џерзи, Нов Зеланд, Јужна Кореа, Швајцарија, Велика Британија, Уругвај и САД (Рамка за приватност на податоци).

Овие земји не се квалификуваат: Кина, Индија, Русија, Бразил, поголемиот дел од Азија-Пацифик, поголемиот дел од Средниот Исток, поголемиот дел од Африка.

Рамката за приватност на податоци ЕУ-САД е повторно на сила. Но сè уште се оспорува на суд. Истите правни аргументи го уништија Safe Harbor (Schrems I) и Privacy Shield (Schrems II). Компаниите кои ја користат оваа рамка треба да планираат за уште едно поништување.

Четири нивоа на заштита за избор на алатки

Предметите TikTok и Meta создаваат јасно рангирање за оценување на SaaS алатки.

Ниво 1 - Хостинг во ЕУ: Информациите за корисниците се обработуваат и складираат на сервери во ЕУ. Ова го исполнува основниот стандард на GDPR за повеќето случаи на употреба.

Ниво 2 - Оператор со седиште во ЕУ: Матичната компанија на добавувачот е со седиште во ЕУ. Не е предмет на законите на земја без одлука за адекватност. Ова го решава проблемот со TikTok. Хостингот во ЕУ во комбинација со изложеноста на кинескиот закон за матичната компанија не е безбедно.

Ниво 3 - Дизајн со нулта знаење: Дури и ако добавувачот биде хакиран или добие судски налог, тој не може да ги чита твоите датотеки. Ги чуваш клучевите за шифрирање. Тој чува само шифриран текст. Прочитај за нашиот пристап со нулта знаење.

Ниво 4 - Локална обработка: Твоите документи никогаш не ги напуштаат твоите сопствени системи. Обработката работи на локален хардвер или машини контролирани од владата. Ова е единствениот начин да се исполнат целосно германскиот SGB V, швајцарската банкарска тајна и правилата на BfDI. Погледни ги нашите ценовни планови за опции за Desktop апликацијата.

DPIA после TikTok

Член 35 од GDPR бара Проценка на влијанието врз заштитата на податоците за обработка со висок ризик. Ова се нарекува DPIA. Кога корисничките датотеки одат до обработувачи во трети земји, исто така ти треба и проценка на влијанието при трансфер.

По TikTok, DPIA за алатки за редактирање на облак мора да одговори на четири прашања.

Јурисдикција на матичната компанија: Дали матичната компанија на добавувачот е предмет на закони - CLOUD Act, кинескиот Закон за сајбер безбедност - кои би можеле да ги присилат да ги предадат датотеките на корисниците во ЕУ?

Пристап на персоналот: Дали персоналот во земји без одлука за адекватност пристапува до датотеки на корисниците во ЕУ при нормалните операции?

Правна основа: Кој механизам според Член 46 од GDPR ги покрива трансферите - SCC, BCR или дерогации?

Влијание при прекршување: Ако добавувачот биде хакиран или присилен да ги предаде документите, што се изложува?

TikTok покажа дека договорите сами по себе не се доволни. Мораш да ги процениш за адекватност. Документирај ги своите одговори. Прегледај го нашиот FAQ за чести прашања за DPIA.

Прашања за набавка во 2026 година

SPO (службениците за заштита на податоци) сега поставуваат многу конкретни прашања кога ги прегледуваат SaaS добавувачите за алатки за обработка на лични информации.

• Каде се наоѓаат серверите? (ЕУ?)
• Каде е со седиште матичната компанија? (ЕУ? САД? Друго?)
• Дали персоналот надвор од ЕУ пристапува до датотеки на клиенти во ЕУ?
• Кој закон ги регулира судските налози за лични документи?
• Дали добавувачот ги чува клучевите за шифрирање, или ги чуваш ти?
• Дали постои опција за локална обработка?

Одговорите на овие прашања - не само потписите на DPA - ја одредуваат вистинската усогласеноста со суверенитетот. Дознај како anonym.legal беше изграден да одговори на сите нив на нашата изјава на основачот. Исто така можеш да го прегледаш нашиот речник на клучни термини за брзи дефиниции на SCC, BCR и одлуки за адекватност.

Окружувањето по-TikTok е јасно. Регулаторите внимателно ги набљудуваат прекуграничните трансфери. Казните се големи. Тие растат. Изборот на добавувач е сега регулаторна одлука. Тоа не е само техничка одлука.

anonym.legal користи дата центри на Hetzner со седиште во ЕУ со дизајн на нулта знаење. Серверот никогаш не ја гледа твојата содржина во обичен текст. Целосно прекршување на серверот дава само AES-256-GCM шифриран текст. Ти треба само локална обработка? Десктоп апликацијата работи целосно на твојот уред без надворешни врски.

Извори

• Ирска DPC: Одлука за казна за TikTok од 530 милиони евра - VERIFIED-EXTERNAL
• Wire: Дигитален суверенитет 2025 - VERIFIED-EXTERNAL
• GDPR.eu Следач на спроведување - VERIFIED-EXTERNAL