Dutch AP dan Denda Uber
Pada Ogos 2024, Dutch AP mendenda Uber €290 juta. Uber menghantar data pemandu EU ke pelayan AS tanpa asas undang-undang. Data tersebut termasuk lesen teksi, semakan jenayah, rekod perubatan, dan log perjalanan.
Uber memindahkan data tersebut selepas Schrems II membatalkan EU-US Privacy Shield pada Julai 2020. Ia meneruskan pemindahan tersebut selama dua tahun. Tiada Klausa Kontrak Standard. Tiada alat Artikel 46 dari sebarang jenis.
Denda ini adalah yang terbesar EU untuk pelanggaran pemindahan data. Ia menduduki tempat ketiga dalam kalangan semua denda GDPR yang pernah dikeluarkan. Kegagalan pemindahan kini membawa kos yang besar. Bukan sekadar pelanggaran.
Lihat panduan pematuhan GDPR kami untuk gambaran keseluruhan ringkas.
Bidang Keutamaan Penguatkuasaan AP
Dutch AP menerima lebih 21,400 aduan pada 2023. Ia menumpukan pada tiga bidang.
Keutamaan 1 — Pemantauan pekerja (43% kes): Banyak firma Netherlands telah menghadapi denda AP kerana mengawasi kakitangan mereka. Kamera tersembunyi, semakan e-mel pukal, dan penjejakan GPS tanpa notis semuanya mencetuskan tindakan. Undang-undang buruh Belanda menambah peraturan tambahan di atas GDPR.
Keutamaan 2 — Pemindahan rentas sempadan (31% kes): Selepas denda Uber dan siasatan bersama dengan DPC Ireland mengenai Cloudflare (2023), AP meningkatkan pengawasan pemindahan. Sektor teknologi Amsterdam menghadapi risiko tinggi di sini. Firma awan, fintech, dan syarikat permulaan pertumbuhan pesat semuanya dalam skop.
Keutamaan 3 — Pemasaran dan pemprofilan (26% kes): Ini merangkumi persetujuan kuki, penyasaran iklan, dan pemasaran langsung. AP mengambil pandangan yang ketat tentang "kepentingan sah". Ia memerlukan ujian bertulis dengan bukti yang jelas.
Peraturan Pemindahan Selepas Uber
Penilaian Impak Pemindahan (TIA): EDBP memerlukan TIA untuk setiap pemindahan ke negara ketiga. TIA mesti menunjukkan destinasi memberikan perlindungan yang setara dengan undang-undang EU. AP menyatakan TIA mesti menjawab empat soalan:
- Apakah undang-undang akses di negara destinasi?
- Sejauh mana agensi perisikan boleh menjangkau?
- Apakah rekod jejak permintaan kerajaan kepada pengimport data?
- Apakah remedi undang-undang yang boleh digunakan oleh subjek data?
Klausa Kontrak Standard — tidak mencukupi dengan sendirinya: SCC sahaja tidak memenuhi Artikel 46. Jika TIA menunjukkan risiko akses kerajaan, perlindungan tambahan diperlukan.
Langkah teknikal tambahan yang diterima AP:
- Enkripsi di mana pengimport tidak mempunyai akses kepada kunci penyahsulitan
- Penyingkiran ID langsung sebelum pemindahan supaya pengimport tidak dapat mengaitkan data kembali kepada seseorang
- Pengurangan data sebelum pemindahan, memotong medan yang tidak diperlukan pengimport
Aplikasi Desktop luar talian menjalankan semua kerja pada peranti anda. Ia tidak menghantar data ke luar. Ini menghapuskan isu pemindahan untuk aktiviti tersebut. Lihat gambaran keseluruhan keselamatan dan pematuhan kami.
Data Pekerja dan Undang-undang Buruh Belanda
Tumpuan AP 43% pada pemantauan pekerja menunjukkan betapa bertindih GDPR dan undang-undang buruh Belanda.
Tiga peraturan terpakai untuk organisasi yang berpangkalan di Netherlands:
Kelulusan majlis kerja: Syarikat yang mempunyai majlis kerja mesti mendapatkan kelulusan sebelum melancarkan mana-mana alat pemantauan. Ini merangkumi alat AI, semakan e-mel, dan sistem kehadiran.
Sesuai untuk tujuan: Pemantauan mesti sepadan dengan matlamat yang dinyatakan. Pemantauan tersembunyi tidak dibenarkan. Pemantauan terbuka mesti menjadi pilihan paling tidak mengganggu.
Had tujuan: Data HR yang dikumpul untuk satu matlamat tidak boleh digunakan untuk yang lain. Asas undang-undang baru diperlukan.
Peraturan-peraturan ini memerlukan tiga rekod: kelulusan majlis, semakan tujuan, dan kawalan. Senarai semak pematuhan kami merangkumi ketiga-tiganya.
Pengesanan PII Netherlands
Alat PII di Netherlands mesti mengendalikan format ID tempatan. Alat global standard sering terlepasnya:
- BSN (Burger Service Nummer): ID nasional Belanda 9 digit — memerlukan pengesahan checksum
- IBAN (awalan NL): IBAN Belanda dengan logik pengesahannya sendiri
- Kod pos (postcode): Formatnya ialah 4 digit + ruang + 2 huruf
- DigiD: Kod identiti digital kerajaan
- Nombor penjagaan kesihatan: Format BGZ dan EP untuk rekod pesakit
Alat generik mungkin menangkap IBAN tetapi terlepas checksum BSN atau format postcode. Uji pengesanan BSN sebelum anda memproses data identiti kebangsaan. Jangan anggap liputan sudah ada.
Langkah-langkah untuk Organisasi Netherlands
1. Audit pemindahan: Senaraikan semua aliran data ke negara ketiga. Semak SCC yang ada. Jalankan TIA untuk aliran utama. Rekod langkah teknikal tambahan di mana TIA menandakan risiko.
2. Semakan pemantauan pekerja: Senaraikan semua alat pemantauan, termasuk AI. Semak rekod kelulusan majlis kerja. Sahkan semakan tujuan wujud secara bertulis.
3. Semakan liputan PII: Uji pengesanan BSN, postcode, dan IBAN dalam alat PII anda. Uji ketepatan pada dokumen berbahasa Belanda.
4. Pendedahan sektor teknologi: Syarikat permulaan harus merekod pilihan yang mengurangkan risiko pemindahan — awan rantau EU dan pilihan pemprosesan tempatan. Penyedia awan dengan persediaan EU-AS harus mendokumentasikan alat pemindahan dan pendekatan TIA mereka.
anonym.legal menggunakan pusat data Hetzner berasaskan EU dengan reka bentuk tanpa pengetahuan. Pelayan tidak pernah melihat kandungan teks biasa anda. Pelanggaran pelayan sepenuhnya hanya menghasilkan ciphertext AES-256-GCM. Perlu pemprosesan hanya tempatan? Aplikasi Desktop berjalan sepenuhnya pada peranti anda tanpa sambungan luaran.
Sumber
- Dutch AP: Laman rasmi Autoriteit Persoonsgegevens — VERIFIED-EXTERNAL
- Dutch AP: Keputusan penguatkuasaan Uber (Ogos 2024) — VERIFIED-EXTERNAL
- EDPB: Cadangan 01/2020 mengenai langkah tambahan — VERIFIED-EXTERNAL