De ce Irlanda conduce aplicarea în UE
Comisia pentru Protecția Datelor din Irlanda (DPC) este autoritatea principală pentru cele mai mari companii tech din UE. Aceasta nu este o coincidență.
Rata scăzută de impozitare a Irlandei a atras Apple, Google, Meta, LinkedIn și TikTok. Toate și-au înființat principalele birouri din UE acolo.
Articolul 60 GDPR face din DPC autoritatea principală pentru aceste firme. Trei consecințe decurg din această regulă.
În primul rând, o plângere din Germania privind Facebook merge la DPC-ul irlandez, nu la BfDI-ul german. În al doilea rând, DPC lucrează cu alte organisme din UE pe cazuri transfrontaliere. În al treilea rând, o decizie DPC împotriva Meta se aplică în întreaga UE.
Rezultatul este clar. DPC a emis mai multă valoare de amenzi decât toate celelalte organisme din UE la un loc. Consultați prezentarea noastră de conformitate GDPR pentru impactul acesteia asupra deciziilor privind furnizorii.
Trei amenzi care definesc 2024–2025
€530M împotriva TikTok (mai 2025): Inginerii chinezi au accesat înregistrările utilizatorilor din UE. Aceasta a încălcat Articolele 44–46 GDPR. Aceste reguli restricționează transferurile către țări fără o decizie de adecvare din UE. China nu are niciuna. TikTok a susținut că dispunea de controale adecvate. DPC a stabilit că nu era cazul.
€310M împotriva LinkedIn (octombrie 2024): LinkedIn s-a bazat pe „interesul legitim” pentru analiza comportamentală. DPC a constatat că aceasta era invalidă. Prelucrarea nu era necesară pentru scopul declarat. Testul de echilibrare nu a favorizat LinkedIn.
€251M împotriva Meta (noiembrie 2024): Breșa Facebook din 2018 nu a fost raportată DPC-ului la timp. DPC a constatat, de asemenea, că jurnalele de audit deficitare au făcut imposibilă măsurarea a ceea ce a fost expus.
Acestea trei s-au adăugat amenzii anterioare de €1,2 miliarde aplicată Meta în mai 2023. Și acea amendă a venit de la DPC, pentru transferuri ilegale EU-US. Rămâne cea mai mare penalitate GDPR emisă vreodată.
DPC a gestionat peste 8.500 de cazuri transfrontaliere în 2024. Consultați pagina noastră de securitate și conformitate pentru a vedea cum designul zero-knowledge abordează fiecare eșec.
Ce revelează fiecare amendă
Eșecuri de acces transfrontalier
Toate cele trei amenzi împărtășesc o problemă de bază. Înregistrările personale erau accesibile personalului din țări fără reguli de confidențialitate la nivelul UE.
Amenda TikTok a fost directă. Dosarele utilizatorilor din UE au ajuns la ingineri chinezi în ciuda controalelor declarate.
Ce înseamnă aceasta pentru selecția furnizorilor: Întrebați dacă inginerii din afara UE pot accesa înregistrările utilizatorilor din UE în activitatea normală. Un furnizor poate fi găzduit la Dublin dar poate totuși expune dosarele din UE prin personalul de suport din SUA. Reședința în UE singură nu este suficientă. Ghidul nostru de procesare a entităților arată cum controalele de acces se mapează la Articolul 46 GDPR.
Eșecuri privind temeiul juridic
Amenda LinkedIn nu a vizat o breșă. A vizat modul în care LinkedIn și-a justificat prelucrarea.
„Interesul legitim” nu este un drept general. Operatorii trebuie să documenteze un test de echilibrare autentic. Acel test trebuie să arate că interesul lor îl depășește pe cel al drepturilor utilizatorului. Pagina noastră de conformitate acoperă modul de revizuire a pretențiilor de temei juridic ale furnizorilor.
Eșecuri de înregistrare și notificare
Amenda de €251M a Meta a inclus o constatare cheie. Jurnalele de audit deficitare au făcut imposibilă măsurarea domeniului de aplicare al breșei.
Articolul 33 GDPR impune notificarea breșei în 72 de ore. Acea notificare trebuie să includă domeniul de aplicare al înregistrărilor afectate. Nu puteți raporta un domeniu de aplicare pe care nu îl puteți măsura.
Întrebați furnizorii potențiali despre structura jurnalelor de audit. Dacă un furnizor nu poate răspunde la întrebarea „ce înregistrări au fost expuse?” după un incident, eșuează cerințele Articolului 33(3)(b).
Tiparul din cazurile DPC
Analizând toate cele patru amenzi majore DPC, apare un tipar. Autoritățile de reglementare acționează împotriva designurilor în care inginerii furnizorilor pot vedea conținutul utilizatorilor. Fiecare amendă majoră a implicat acces slab controlat la înregistrările personale.
Designul zero-knowledge abordează preocuparea de bază din fiecare caz. Conținutul utilizatorilor este criptat. Furnizorul nu deține chei de decriptare.
Pentru cazurile de transfer TikTok și Meta, inginerii din afara UE ajung la server dar văd doar text cifrat. Nicio înregistrare lizibilă nu este expusă. Pentru cazul breșei Meta, o compromitere completă a serverului nu produce nimic util. Domeniul de aplicare al breșei se micșorează. Pentru LinkedIn, un furnizor care nu vede niciodată text simplu nu poate rula analize comportamentale pe acesta.
Acesta este răspunsul direct la fiecare acțiune DPC. Consultați prezentarea noastră de securitate pentru detalii, sau declarația fondatorului nostru privind motivul pentru care anonym.legal a fost construit astfel de la bun început.
Ce înseamnă „sediul principal”
Unele companii își direcționează structura din UE pentru a controla ce DPA are jurisdicție. Viziunea DPC contează în acest caz.
„Sediul principal” nu este doar o adresă de companie. Este locul unde se află managementul central din UE. Pentru operatori, este locul unde se iau deciziile privind obiectivele de prelucrare.
O firmă cu o echipă de confidențialitate la Londra poate să nu aibă niciun sediu principal în UE. DPA-ul fiecărui stat membru ar putea atunci să revendice autoritatea pentru plângerile locale.
Întrebări pentru revizuirea furnizorilor
Utilizați aceste întrebări când evaluați furnizorii SaaS care gestionează înregistrări personale.
Jurisdicție și acces:
- Unde este sediul principal din UE al furnizorului?
- Personalul din afara UE poate accesa înregistrările utilizatorilor din UE în activitatea normală?
- Este compania-mamă a furnizorului supusă Legii CLOUD sau legilor de securitate ale Chinei?
Design tehnic:
- Conținutul utilizatorilor din UE rămâne pe servere găzduite în UE?
- Furnizorul deține cheile de criptare, sau le deține clientul?
- Sunt jurnalele de audit suficient de detaliate pentru a măsura domeniul de aplicare al unei breșe?
Înregistrări de transfer:
- Ce mecanism al Articolului 46 GDPR acoperă orice fluxuri EU-US?
- A efectuat furnizorul o Evaluare a impactului transferului?
- Ce măsuri tehnice suplimentare sunt în vigoare?
Aplicarea DPC este consecventă pe un punct. Chiar și firmele cu echipe de confidențialitate și DPO se confruntă cu amenzi mari când designul lor tehnic nu corespunde pretențiilor lor. Consultați studiile noastre de caz și FAQ pentru mai multe informații.
anonym.legal utilizează servere Hetzner din UE cu design zero-knowledge. Serverele conțin doar text cifrat AES-256-GCM. O breșă completă nu expune nicio înregistrare lizibilă. Aplicația Desktop procesează tot conținutul pe dispozitiv fără conexiuni externe.
Surse
- DPC Irlandeză — Decizii oficiale de aplicare a legii — VERIFIED-EXTERNAL
- EDPB — Mecanismul ghișeului unic — VERIFIED-EXTERNAL
- Textul GDPR — Articolele 33, 44–46, 60 — VERIFIED