Autoriteit Persoonsgegevens (AP) mendenda Uber €290 juta pada Ogos 2024. Denda itu dikenakan kerana menghantar data pemandu ke pelayan AS tanpa perjanjian pemindahan yang sah. Tiada kes GDPR yang menghasilkan denda lebih besar untuk pemindahan rentas sempadan. AP juga mengendalikan lebih 21,400 aduan pada tahun 2023. Itu menjadikannya salah satu pengawal selia data tersibuk di Eropah.
Apa yang Ditemui AP dalam Kes Uber
Uber mengumpulkan data daripada pemandu di Belanda dan Perancis. Data itu merangkumi sejarah lokasi, dokumen pengenalan diri, rekod gaji, rekod pemanduan, dan fail cukai. Semuanya dipindahkan ke pelayan AS. AP memutuskan kaedah pemindahan itu tidak sah.
Tiga penemuan mendorong keputusan itu:
- Kaedah pemindahan lemah: Uber menggunakan Peraturan Korporat Mengikat (BCR). AP mendapati peraturan ini tidak merangkumi skop atau sensitiviti data pemandu yang terlibat.
- Tiada Penilaian Impak Pemindahan (TIA): Uber tidak menunjukkan bahawa undang-undang AS mengekalkan perlindungan pemindahan yang dipersetujui.
- Data sensitif melalui gabungan: Data lokasi, gaji, dan skor prestasi bersama-sama memberikan gambaran terperinci setiap pemandu. AP menganggap gabungan ini setara dengan data peribadi sensitif.
Kes Uber menetapkan peraturan yang jelas. Data kakitangan dan kontraktor yang dihantar ke AS memerlukan TIA dan langkah tambahan yang sama seperti data pengguna.
Bidang Tumpuan Penguatkuasaan AP untuk 2025
Dikemas kini untuk 2026
AP telah mengenal pasti tiga bidang yang diperhatikan dengan teliti pada tahun 2025.
Pemantauan kakitangan: Alat penjejak kerja jarak jauh adalah sasaran utama. Ini termasuk log produktiviti, tangkap skrin, penjejakan ketukan kekunci, dan alat lokasi jauh. Sebelum menggunakan mana-mana alat sedemikian, syarikat mesti merekodkan sebab mereka menolak pilihan yang kurang mengganggu privasi.
Pemindahan data rentas sempadan: Selepas penghakiman Uber, AP menyemak kaedah pemindahan. Syarikat yang bergantung pada perkhidmatan AS, Asia, atau negara bukan-memadai lain berada dalam skop. Mana-mana syarikat yang menggunakan alat perisian AS untuk HR, kerja projek, atau data pelanggan mesti mempunyai TIA semasa dalam fail.
Keputusan automatik: Pemarkahan kredit AI, penapis pengambilan, dan sistem prestasi mencetuskan kewajipan Artikel 22. AP menyasar organisasi yang membuat keputusan automatik tanpa langkah semakan manusia sebenar. Pekerja dan pengguna mesti dilindungi.
BSN: Pengenal Nasional yang Dilindungi
Burgerservicenummer (BSN) ialah nombor pengenalan 9-digit yang digunakan di Belanda. Ia disahkan menggunakan pemeriksaan Elfproef (sebelas-bukti). Untuk menjalankan pemeriksaan: darabkan setiap digit dengan pemberat dari 9 hingga −1, tambah hasilnya, dan jumlah mesti boleh dibahagi dengan 11.
Akta BSN (Wet algemene bepalingen burgerservicenummer) mengehadkan penggunaan BSN kepada konteks undang-undang tertentu. Ini adalah: cukai, penjagaan kesihatan, kerajaan, dan senarai gaji majikan. Menggunakan BSN di luar konteks tersebut mencetuskan penguatkuasaan Akta BSN. Liabiliti GDPR juga terpakai.
Mengapa alat generik terlepas BSN: Banyak alat NLP tidak menyertakan pemeriksaan Elfproef. Tanpanya, mana-mana rentetan 9-digit ditandai sebagai BSN yang mungkin. Itu mewujudkan penggera palsu dalam dokumen kewangan dan pentadbiran. BSN yang salah taip juga terlepas. Ia gagal pemeriksaan tetapi masih kelihatan seperti corak yang sah. Lihat panduan kami tentang pengesanan ID cukai kebangsaan EU dan PII untuk perbandingan penuh merentasi format ID Eropah.
NER untuk Teks Belanda
Bahasa Belanda (Nederlands) mempunyai ciri yang mengelirukan model yang dilatih dalam bahasa Inggeris.
Kata majmuk: Bahasa Belanda menggabungkan kata-kata. Persoonsgegevens (data peribadi) dan Burgerservicenummer (nombor ID warganegara) masing-masing satu perkataan. Model yang dibina untuk bahasa Inggeris sering memecahkannya di titik yang salah. Itu merosakkan pengesanan entiti.
Akhiran nama: Akhiran -je dan -tje muncul dalam nama pertama — Annetje, Hansje. Model nama perlu mengendalikan kedua-dua bentuk asas dan bentuk pendek.
Format alamat: Jenis jalan merangkumi Straat, Laan, Weg, Plein, dan Gracht. Kod pos menggunakan empat digit ditambah dua huruf (contoh: 1234 AB). Setiap kod memetakan ke satu jalan, jadi ia mendedahkan lebih banyak maklumat daripada kebanyakan kod pos Eropah.
Format IBAN: IBAN Belanda terdiri daripada 18 aksara: NL + 2 digit semak + kod bank 4 huruf + nombor akaun 10 digit. Negara itu mempunyai penggunaan pembayaran kad yang tinggi. Hasilnya, dokumen kewangan membawa banyak IBAN. Untuk kaedah pemarkahan keyakinan merentasi jenis ID, lihat pengesanan PII binari dan pemarkahan keyakinan.
Senarai Semak Teknikal untuk Pematuhan AP
Untuk memenuhi standard AP semasa, sistem data memerlukan:
- Pengesanan BSN dengan Elfproef — padanan corak sahaja tidak mencukupi
- NER bahasa Belanda — model seperti spaCy
nl_core_newsmengendalikan kata majmuk dan nama pendek - Pengesanan IBAN — peka format, bukan generik
- Rekod pemproses bawahan untuk semua pemindahan rentas sempadan
- TIA untuk vendor AS — keutamaan audit AP yang aktif selepas penghakiman Uber
Selepas Uber, TIA untuk vendor AS adalah keperluan asas, bukan amalan terbaik. Untuk analisis penuh penghakiman dan implikasi pemindahannya, lihat denda AP Uber dan penguatkuasaan pemindahan rentas sempadan.