Зошто Ирска ги Води Спроведувањата во ЕУ
Ирската Комисија за заштита на податоци (DPC) е водечкиот орган за повеќето големи технолошки компании во ЕУ. Ова не е случајност.
Ниската даночна стапка на Ирска привлекоа Apple, Google, Meta, LinkedIn и TikTok. Сите ги отворија своите главни канцеларии во ЕУ таму.
GDPR Член 60 го прави DPC водечки орган за овие фирми. Три работи произлегуваат од ова правило.
Прво, жалба во Германија против Facebook оди до ирскиот DPC, не до германскиот BfDI. Второ, DPC соработува со други ЕУ органи на прекугранични случаи. Трето, одлуката на DPC против Meta важи низ целата ЕУ.
Резултатот е јасен. DPC издаде поголема вредност на казни отколку сите останати органи на ЕУ заедно. Видете го нашиот преглед на усогласеност со GDPR за тоа како ова ги обликува одлуките за добавувачи.
Три Казни Кои го Дефинираат 2024–2025
€530M против TikTok (мај 2025): Кинески инженери пристапиле до записи на корисниците на ЕУ. Ова ги прекрши GDPR членови 44–46. Тие правила ги ограничуваат пренесувањата до земји без одлука за соодветност на ЕУ. Кина нема таква. TikTok тврдеше дека имал соодветни контроли. DPC рече дека немало.
€310M против LinkedIn (октомври 2024): LinkedIn се потпираше на "легитимниот интерес" за анализа на однесувањето. DPC утврди дека ова е неважечко. Обработката не беше потребна за наведената цел. Балансниот тест не беше во полза на LinkedIn.
€251M против Meta (ноември 2024): Прекршувањето на Facebook од 2018 не беше пријавено до DPC навреме. DPC исто така утврди дека лошите ревизорски дневници го направиле невозможно мерењето на тоа што беше изложено.
Овие три му се придружија на поранешната казна за Meta од €1,2 милијарди од мај 2023. И таа казна дојде од DPC, за незаконски пренесувања ЕУ-САД. Таа останува најголемата казна по GDPR досега.
DPC обработи над 8.500 прекугранични случаи во 2024. Прегледајте ја нашата страница за безбедност и усогласеност за да видите како дизајнот без знаење го адресира секој неуспех.
Што Открива Секоја Казна
Неуспеси во Прекуграничниот Пристап
Сите три казни споделуваат едно основно прашање. Личните записи беа отворени за персоналот во земји без правила за приватност на ниво на ЕУ.
Казната за TikTok беше директна. Досиеата на корисниците на ЕУ стигнале до кинески инженери и покрај наведените контроли.
Што ова значи за изборот на добавувачи: Прашајте дали инженерите надвор од ЕУ можат да пристапат до записите на корисниците на ЕУ во нормалната работа. Добавувачот може да биде домаќинуван во Даблин, но сепак да ги изложи датотеките на ЕУ преку поддршка базирана во САД. Само престојот во ЕУ не е доволен. Нашиот водич за обработка на субјекти покажува како контролите на пристап се мапираат на GDPR Член 46.
Неуспеси во Законската Основа
Казната за LinkedIn не беше за прекршување. Беше за тоа како LinkedIn ја оправдал својата обработка.
"Легитимниот интерес" не е апсолутно право. Контролорите мора да документираат вистински балансен тест. Тој тест мора да покаже дека нивниот интерес ги надминува правата на корисникот. Нашата страница за усогласеност покрива како да се прегледаат тврдењата на добавувачите за законска основа.
Неуспеси во Евидентирањето и Известувањето
Казната за Meta од €251M вклучи клучно наоѓање. Лошите ревизорски дневници го направиле невозможно мерењето на обемот на прекршувањето.
GDPR Член 33 бара известување за прекршување во рок од 72 часа. Тоа известување мора да го вклучи обемот на засегнатите записи. Не можете да пријавите обем кој не можете да го измерите.
Прашајте ги потенцијалните добавувачи за структурата на нивниот ревизорски дневник. Ако добавувачот не може да одговори "кои записи беа изложени?" по инцидент, тој не го исполнува Член 33(3)(б).
Образецот Низ Случаите на DPC
Прочитајте ги сите четири главни казни на DPC и се појавува еден образец. Регулаторите дејствуваат против дизајни каде инженерите на добавувачите можат да ја видат содржината на корисникот. Секоја голема казна вклучуваше слабо контролиран пристап до лични записи.
Дизајнот без знаење ја адресира основната загриженост во секој случај. Содржината на корисникот е шифрирана. Добавувачот не чува клучеви за дешифрирање.
За случаите на пренесување на TikTok и Meta, инженерите надвор од ЕУ го достигнуваат серверот, но гледаат само шифриран текст. Никакви читливи записи не се изложени. За случајот со прекршување на Meta, целосното компромитирање на серверот не дава ништо корисно. Обемот на прекршувањето се намалува. За LinkedIn, добавувач кој никогаш не гледа обичен текст не може да изврши анализа на однесување врз него.
Ова е директен одговор на секое дејство на DPC. Видете го нашиот преглед на безбедност за детали, или нашата изјава на основачот за тоа зошто anonym.legal беше изграден на овој начин од самиот почеток.
Што Значи "Главен Седиште"
Некои компании ја насочуваат својата структура во ЕУ за да контролираат кој DPA има надлежност. Ставот на DPC е важен тука.
"Главно седиште" не е само адреса на компанија. Тоа е местото каде се наоѓа централното управување во ЕУ. За контролорите, тоа е местото каде се донесуваат одлуките за целите на обработка.
Фирма со тим за приватност во Лондон може да нема главно седиште во ЕУ. Потоа секој DPA на земјата-членка може да тврди надлежност за локалните жалби.
Прашања за Преглед на Добавувачи
Користете ги овие прашања кога ги оценувате добавувачите на SaaS кои ракуваат со лични записи.
Надлежност и пристап:
- Каде е главното седиште на добавувачот во ЕУ?
- Можат ли персоналот надвор од ЕУ да пристапи до записите на корисниците на ЕУ во нормалната работа?
- Дали матичното претпријатие на добавувачот е предмет на Законот CLOUD или кинеските закони за безбедност?
Технички дизајн:
- Дали содржината на корисниците на ЕУ останува на сервери домаќинувани во ЕУ?
- Дали добавувачот ги чува клучевите за енкрипција, или ги чува клиентот?
- Дали ревизорските дневници се доволно детални за мерење на обемот на прекршувањето?
Записи за пренесување:
- Кој механизам по GDPR Член 46 ги покрива течењата ЕУ-САД?
- Дали добавувачот направил Проценка на влијанието врз пренесувањето?
- Кои дополнителни технички мерки се воспоставени?
Спроведувањето на DPC е конзистентно во една точка. Дури и фирми со тимови за приватност и DPO добиваат големи казни кога нивниот технички дизајн не одговара на нивните тврдења. Видете ги нашите студии на случај и FAQ за повеќе.
anonym.legal користи сервери на Hetzner базирани во ЕУ со дизајн без знаење. Серверите чуваат само шифриран текст AES-256-GCM. Целосното прекршување не изложува никакви читливи записи. Десктоп апликацијата ја обработува целата содржина на уредот без надворешни врски.
Извори
- Ирски DPC — Официјални одлуки за спроведување — VERIFIED-EXTERNAL
- EDPB — Механизам за единствена точка на контакт — VERIFIED-EXTERNAL
- Текст на GDPR — Членови 33, 44–46, 60 — VERIFIED