A AP Holandesa e a Multa à Uber
Em agosto de 2024, a Autoriteit Persoonsgegevens (AP) holandesa multou a Uber em 290 milhões de euros. A Uber havia transferido dados de motoristas europeus para servidores nos EUA sem base legal. Esses dados incluíam licenças de táxi, verificações de antecedentes criminais, registros médicos e históricos de viagens.
A Uber moveu os dados após o Schrems II anular o Escudo de Privacidade UE-EUA em julho de 2020. As transferências continuaram por dois anos. Sem cláusulas contratuais padrão. Sem nenhum instrumento do artigo 46.
Esta multa é a maior da UE por uma violação de transferência de dados. Ocupa o terceiro lugar entre todas as multas do RGPD. As falhas de transferência agora têm um custo enorme. Não apenas as violações de dados.
Consulte nosso guia de conformidade com o RGPD para uma visão geral rápida.
Prioridades de Atuação da AP
A AP recebeu mais de 21.400 reclamações do RGPD em 2023. Foca-se em três áreas.
Prioridade 1 — Vigilância de funcionários (43% dos casos): Muitas empresas neerlandesas receberam multas da AP por monitorizar o seu pessoal. Câmeras ocultas, verificações em massa de e-mails e rastreamento GPS sem aviso geram medidas de cumprimento. O direito laboral holandês acrescenta regras adicionais ao RGPD.
Prioridade 2 — Transferências transfronteiriças (31% dos casos): Após a multa à Uber e uma investigação conjunta com a DPC irlandesa sobre a Cloudflare (2023), a AP reforçou a supervisão de transferências. O setor tecnológico de Amesterdão está muito exposto. Empresas de nuvem, fintech e startups de alto crescimento estão todas em causa.
Prioridade 3 — Marketing e criação de perfis (26% dos casos): Abrange consentimento de cookies, segmentação publicitária e marketing direto. A AP tem uma visão rigorosa do "interesse legítimo". Exige testes escritos com provas claras.
Regras de Transferência Após a Uber
Avaliações de Impacto de Transferência (TIA): O EDPB exige uma TIA para cada transferência para um país terceiro. A TIA deve mostrar que o país de destino oferece proteção equivalente à legislação da UE. A AP diz que uma TIA deve responder a quatro perguntas:
- Quais são as leis de acesso das autoridades no país de destino?
- Qual é o alcance dos serviços de inteligência?
- Qual é o histórico de pedidos governamentais ao importador de dados?
- Que recursos legais estão disponíveis para os titulares dos dados?
Cláusulas contratuais padrão — não suficientes sozinhas: As CCP por si só não satisfazem o artigo 46 se a TIA revelar risco de acesso governamental. São então necessárias salvaguardas adicionais.
Medidas técnicas adicionais aceitas pela AP:
- Criptografia em que o importador não tem acesso às chaves de descriptografia
- Remoção de identificadores diretos antes da transferência para que o importador não possa ligar os dados a uma pessoa
- Redução de dados antes da transferência, eliminando campos que o importador não precisa
A aplicação Desktop offline funciona inteiramente no seu dispositivo. Não envia dados para o exterior. Isto elimina a questão da transferência para essa atividade. Veja a nossa visão geral de segurança e conformidade.
Dados de Funcionários e Direito Laboral Holandês
O foco de 43% da AP na vigilância de funcionários mostra como o RGPD e o direito laboral holandês se sobrepõem.
Três regras aplicam-se a organizações com sede nos Países Baixos:
Aprovação do conselho de trabalhadores: Uma empresa com conselho de trabalhadores (Ondernemingsraad) deve obter a sua aprovação antes de implementar qualquer ferramenta de monitorização. Isto abrange ferramentas de IA, verificações de e-mail e sistemas de presença.
Proporcionalidade: A monitorização deve corresponder ao seu objetivo declarado. A monitorização encoberta não é permitida. A monitorização aberta deve ser a opção menos intrusiva.
Limitação de finalidade: Os dados de RH recolhidos para um objetivo não podem ser usados para outro. É necessária uma nova base legal.
Estas regras exigem três documentos: a aprovação do conselho, a verificação de finalidade e os controlos. A nossa lista de verificação de conformidade cobre os três.
Deteção de PII nos Países Baixos
As ferramentas de PII nos Países Baixos devem processar formatos de ID locais. As ferramentas globais padrão muitas vezes não os detetam:
- BSN (Burger Service Nummer): ID nacional holandês de 9 dígitos — requer validação de soma de verificação
- IBAN (prefixo NL): IBAN holandês com a sua própria lógica de validação
- Código postal (postcode): Formato: 4 dígitos + espaço + 2 letras
- DigiD: Código de identidade digital do Governo
- Números de saúde: Formatos BGZ e EP para registros de pacientes
Uma ferramenta genérica pode detetar IBAN mas não a soma de verificação BSN ou o formato de código postal. Teste a deteção de BSN antes de processar dados de identidade nacional. Não presuma cobertura.
Passos para Organizações dos Países Baixos
1. Auditoria de transferências: Listar todos os fluxos de dados para países terceiros. Rever as CCP em vigor. Realizar TIAs para fluxos-chave. Documentar medidas técnicas adicionais onde uma TIA sinalize risco.
2. Revisão da vigilância de funcionários: Listar todas as ferramentas de monitorização, incluindo IA. Verificar os registros de aprovação do conselho de trabalhadores. Confirmar que as verificações de finalidade existem por escrito.
3. Verificação de cobertura PII: Testar a deteção de BSN, código postal e IBAN nas ferramentas de PII. Testar a precisão em documentos em holandês.
4. Exposição do setor tecnológico: As startups devem documentar as escolhas que reduzem o risco de transferência — nuvem em zona UE e opções de processamento local. Os fornecedores com configurações UE-EUA devem documentar as suas ferramentas de transferência e a abordagem TIA.
anonym.legal usa centros de dados Hetzner com sede na UE com design de conhecimento zero. O servidor nunca vê o seu conteúdo em texto simples. Uma violação completa do servidor produz apenas texto cifrado AES-256-GCM. Precisa de processamento apenas local? A aplicação Desktop funciona inteiramente no seu dispositivo sem conexões externas.
Fontes
- AP Holandesa: Autoriteit Persoonsgegevens — VERIFIED-EXTERNAL
- AP Holandesa: Decisão de execução contra a Uber (agosto de 2024) — VERIFIED-EXTERNAL
- EDPB: Recomendações 01/2020 sobre medidas suplementares — VERIFIED-EXTERNAL