Прецедент TikTok
Штраф Ирландской Комиссии по защите данных (DPC) в размере €530 миллионов, наложенный на TikTok в мае 2025 года за передачу данных пользователей Европейской экономической зоны в Китай, создал правоприменительный прецедент, выходящий за рамки социальных сетей. Вывод DPC: TikTok нарушил пункт 1 Статьи 46 GDPR, передавая персональные данные в третью страну — Китай — без надлежащих гарантий. Нарушением стала сама передача, а не последовавшие за ней сбор или обработка данных.
Масштаб прецедента: любая передача персональных данных ЕС на сервер за пределами ЕС — включая обработку легитимным и соответствующим требованиям инструментом — является передачей данных по Статьям 44–49 GDPR. Передача требует либо решения об адекватности, либо стандартных договорных положений (SCC), либо обязательных корпоративных правил (BCR), либо иного механизма по Статье 46.
Накопленные штрафы по GDPR достигли €5,65 млрд к 2025 году. Нарушения, связанные с передачей данных, в среднем обходятся в €18 млн на одно правоприменительное действие (DLA Piper 2025), что ставит их в число наиболее опасных категорий.
Парадокс инструмента анонимизации
Организация, использующая американский SaaS-инструмент анонимизации для обработки данных европейских клиентов, сталкивается со структурной проблемой GDPR. Рабочий процесс выглядит так: данные европейских клиентов загружаются на американские серверы инструмента, обрабатываются, возвращаются в анонимизированном виде, после чего хранятся и используются в ЕС. Исходные персональные данные — до анонимизации — прошли через американские серверы на этапе обработки.
Этот транзит является передачей данных по GDPR. Намерение организации (анонимизировать данные в целях соответствия) не снимает с неё обязательств по Статьям 44–49. То, что данные были впоследствии анонимизированы, не устраняет факт передачи предварительно не анонимизированных персональных данных.
Анализ Ирландской DPC по делу TikTok прямо применим к этой ситуации: нарушение состоит в передаче персональных данных на сервер за пределами ЕС — вне зависимости от характера обработки на принимающем сервере. Американский инструмент анонимизации, получающий данные европейских клиентов на американских серверах, является получателем трансграничной передачи. Использующая его организация нуждается в том же решении об адекватности, тех же SCC или BCR, что и при любой иной передаче данных.
Архитектура нулевого разглашения как решение
Решение носит архитектурный характер: инструмент анонимизации, который никогда не получает персональные данные, не может быть причиной нарушения при передаче данных. Подход нулевого разглашения — при котором обнаружение и замена персональных данных выполняются на стороне клиента, а серверы инструмента получают только анонимизированный результат — исключает проблему передачи данных.
При архитектуре нулевого разглашения: сырые персональные данные обрабатываются в браузере или локальном приложении пользователя; обнаружение персональных данных выполняется локально; на сервер передаётся только анонимизированный результат — данные с реальными персональными идентификаторами, замененными токенами или зашифрованными значениями. Если анонимизация полна, сервер получает не персональные данные в понимании GDPR.
Для организаций, ведущих Реестр деятельности по обработке (ROPA) по Статье 30, это архитектурное различие существенно: запись ROPA для инструмента с серверами в ЕС и архитектурой нулевого разглашения не фиксирует трансграничную передачу. Запись ROPA для американского инструмента, получающего сырые персональные данные, фиксирует трансграничную передачу, требующую документального подтверждения правового основания.
Источники: