Autoriteit Persoonsgegevens (AP) bøtela Uber €290 millioner i august 2024. Boten gjaldt sending av sjåførdata til amerikanske servere uten gyldig overføringsavtale. Ingen GDPR-sak har produsert en større bot for grensekryssende overføring. AP behandlet også over 21 400 klager i 2023. Det gjør myndighetene til en av Europas travleste datatilsyn.
Hva AP fant i Uber-saken
Uber samlet inn data fra sjåfører i Nederland og Frankrike. Dataene omfattet lokasjonshistorikk, identitetsdokumenter, lønnsregistre, kjøreregistre og skattefiler. Alt ble overført til amerikanske servere. AP fastslo at overføringsmetoden ikke var gyldig.
Tre funn drev avgjørelsen:
- Svak overføringsmetode: Uber brukte Binding Corporate Rules (BCR-er). AP fant at disse ikke dekket omfanget eller sensitiviteten til sjåførdataene som var involvert.
- Ingen Transfer Impact Assessment (TIA): Uber viste ikke at amerikansk lov lot de avtalte overføringsbeskyttelsene stå ved lag.
- Sensitive data i kombinasjon: Lokasjonsdata, lønn og ytelsesscorer gir til sammen et detaljert bilde av hver sjåfør. AP behandlet denne kombinasjonen som tilsvarende sensitive personopplysninger.
Uber-saken setter en klar regel. Ansatt- og kontraktørdata som sendes til USA, trenger de samme TIA- og ekstratiltakene som forbrukerdata.
APs håndhevingsfokus for 2025
Oppdatert for 2026
AP har pekt ut tre områder de overvåker nøye i 2025.
Ansattovervåking: Fjernarbeidsverktøy er det øverste målet. Dette inkluderer produktivitetslogger, skjermopptak, tastetrykkslogging og fjernlokasjonsverktøy. Før et slikt verktøy tas i bruk, må virksomheter dokumentere hvorfor de avviste mindre inngripende alternativer.
Grensekryssende dataoverføringer: Etter Uber-kjennelsen sjekker AP overføringsmetoder. Virksomheter som er avhengige av amerikanske, asiatiske eller andre tjenester fra land uten tilstrekkelighetsvedtak, er i søkelyset. Enhver virksomhet som bruker amerikanske programvareverktøy for HR, prosjektarbeid eller kundedata, må ha en oppdatert TIA.
Automatiserte beslutninger: AI-basert kredittvurdering, ansettelsesfiltre og ytelsesvurderinger utløser plikter etter artikkel 22. AP retter seg mot organisasjoner som treffer automatiserte beslutninger uten et reelt menneskelig kontrolltrinn. Både ansatte og forbrukere må være dekket.
BSN: Et beskyttet nasjonalt identifikasjonsnummer
Burgerservicenummer (BSN) er et 9-sifret ID-nummer brukt i Nederland. Det valideres ved hjelp av Elfproef-sjekken (elleveproeven). Slik kjøres sjekken: multipliser hvert siffer med en vekt fra 9 ned til −1, legg sammen resultatene, og totalen må dele seg jevnt på 11.
BSN-loven (Wet algemene bepalingen burgerservicenummer) begrenser BSN-bruk til bestemte rettslige sammenhenger. Disse er: skatt, helsevesen, offentlig forvaltning og arbeidsgiverlønn. Bruk av BSN utenfor disse sammenhengene utløser BSN-lovhåndhevelse. GDPR-ansvar kommer i tillegg.
Hvorfor generiske verktøy bommer på BSN-er: Mange NLP-verktøy inkluderer ikke Elfproef-sjekken. Uten den flagges enhver 9-sifret streng som en mulig BSN. Det skaper falske alarmer i finans- og administrasjonsdokumenter. Feilskrevne BSN-er blir også oversett. De feiler sjekken, men ser fortsatt ut som et gyldig mønster. Se vår guide til EU-nasjonale skatte-ID-er og PII-deteksjon for en fullstendig sammenligning på tvers av europeiske ID-formater.
NER for nederlandsk tekst
Nederlandsk (Nederlands) har egenskaper som lurer modeller trent på engelsk.
Sammensatte ord: Nederlandsk setter ord sammen. Persoonsgegevens (personopplysninger) og Burgerservicenummer (borger-ID-nummer) er hvert ett enkelt ord. Modeller bygget for engelsk deler dem ofte på feil sted. Det ødelegger enhetsgjenkjenning.
Navneendinger: Suffiksene -je og -tje forekommer i fornavn — Annetje, Hansje. Navnemodeller må håndtere både grunnformen og kortformen.
Adresseformater: Gatetyper inkluderer Straat, Laan, Weg, Plein og Gracht. Postnumre bruker fire sifre pluss to bokstaver (eksempel: 1234 AB). Hvert nummer tilsvarer en enkelt gate, så det avslører mer enn de fleste europeiske postnumre gjør.
IBAN-format: Nederlandske IBAN-er er 18 tegn: NL + 2 kontrollsifre + 4-bokstavers bankkode + 10-sifret kontonummer. Landet har høy bruk av kortbetaling. Finansdokumenter inneholder derfor mange IBAN-er. For metoder for konfidensscoring på tvers av ID-typer, se binær PII-deteksjon og konfidensscore.
Teknisk sjekkliste for AP-overholdelse
For å oppfylle APs gjeldende standarder trenger datasystemer:
- BSN-deteksjon med Elfproef — mønstermatching alene er ikke nok
- Nederlandskspråklig NER — en modell som spaCy
nl_core_newshåndterer sammensatte ord og kortformsnavn - IBAN-deteksjon — formatbevisst, ikke generisk
- Underbehandlerregistre for alle grensekryssende overføringer
- TIA-er for amerikanske leverandører — en aktiv AP-revisjonsprioritet etter Uber-kjennelsen
Etter Uber er TIA for amerikanske leverandører et grunnleggende krav, ikke beste praksis. For en fullstendig gjennomgang av kjennelsen og dens overføringsimplikasjoner, se AP Uber-bot og grensekryssende overføringshåndhevelse.