Нидерландский AP и дело Uber
В августе 2024 года нидерландский AP оштрафовал Uber на €290 миллионов. Uber передавал данные европейских водителей на американские серверы без правового основания. В состав этих данных входили лицензии таксистов, справки о судимости, медицинские записи и журналы поездок.
Uber начал передавать данные после того, как решение по делу Schrems II аннулировало соглашение EU-US Privacy Shield в июле 2020 года. Компания продолжала эти передачи в течение двух лет. Без стандартных договорных положений. Без какого-либо инструмента статьи 46.
Этот штраф является крупнейшим в ЕС за нарушение правил передачи данных. По общей сумме он занимает третье место среди всех штрафов GDPR. Нарушения при передаче данных влекут огромные издержки — не только нарушения безопасности.
См. наше руководство по соответствию GDPR для краткого обзора.
Приоритетные направления правоприменения AP
В 2023 году нидерландский AP получил более 21 400 жалоб. Ведомство сосредоточено на трёх направлениях.
Приоритет 1 — Мониторинг работников (43% дел): Многие нидерландские компании были оштрафованы AP за слежку за сотрудниками. Скрытые камеры, массовая проверка электронной почты и GPS-слежение без уведомления — всё это влечёт санкции. Нидерландское трудовое право добавляет дополнительные ограничения поверх требований GDPR.
Приоритет 2 — Трансграничные передачи (31% дел): После штрафа Uber и совместной проверки с ирландским DPC по делу Cloudflare (2023) AP усилил надзор за передачами данных. Технологический сектор Амстердама несёт особый риск. В зоне риска — облачные компании, финтех и быстрорастущие стартапы.
Приоритет 3 — Маркетинг и профилирование (26% дел): Это направление охватывает согласие на использование файлов cookie, таргетированную рекламу и прямой маркетинг. AP придерживается строгой позиции в отношении «законного интереса»: требуются письменные проверки с чёткими доказательствами.
Правила передачи данных после дела Uber
Оценки воздействия при передаче данных (TIA): EDPB требует TIA для каждой передачи данных в третью страну. TIA должна показать, что в стране назначения обеспечивается защита, равнозначная европейской. AP устанавливает, что TIA должна отвечать на четыре вопроса:
- Каково законодательство в области доступа к данным в стране назначения?
- Каковы полномочия спецслужб?
- Какова история запросов со стороны властей к импортёру данных?
- Какие правовые средства защиты доступны субъектам данных?
Стандартные договорные положения — недостаточны сами по себе: SCC не могут самостоятельно обеспечить соответствие статье 46. Если TIA выявляет риск доступа со стороны властей, требуются дополнительные меры защиты.
Дополнительные технические меры, принимаемые AP:
- Шифрование, при котором импортёр не имеет доступа к ключам дешифрования
- Удаление прямых идентификаторов перед передачей, чтобы импортёр не мог связать данные с конкретным человеком
- Сокращение объёма данных перед передачей путём исключения полей, не нужных импортёру
Офлайн-приложение для рабочего стола выполняет всю обработку на вашем устройстве и не отправляет данные за его пределы. Это полностью устраняет проблему трансграничных передач для данной деятельности. См. наш обзор безопасности и соответствия.
Данные сотрудников и нидерландское трудовое право
То, что 43% дел AP связано с мониторингом работников, свидетельствует о пересечении GDPR и нидерландского трудового законодательства.
Для организаций, работающих в Нидерландах, действуют три правила:
Одобрение производственного совета: Компания с производственным советом обязана получить его согласие перед внедрением любого инструмента мониторинга. Это распространяется на ИИ-инструменты, проверку электронной почты и системы учёта посещаемости.
Соответствие цели: Мониторинг должен соответствовать заявленной цели. Скрытый мониторинг недопустим. Открытый мониторинг должен быть наименее инвазивным из возможных вариантов.
Ограничение цели: Кадровые данные, собранные для одной цели, не могут использоваться для другой. Требуется новое правовое основание.
Эти правила требуют трёх документов: одобрение совета, проверка цели и реестр мер контроля. Наш контрольный список соответствия охватывает все три.
Обнаружение персональных данных в Нидерландах
Инструменты защиты персональных данных в Нидерландах должны обрабатывать местные форматы идентификаторов. Стандартные глобальные инструменты часто их упускают:
- BSN (Burger Service Nummer): 9-значный нидерландский национальный идентификатор — требует валидации контрольной суммы
- IBAN (префикс NL): Нидерландский IBAN с собственной логикой валидации
- Почтовый индекс (postcode): Формат — 4 цифры + пробел + 2 буквы
- DigiD: Государственный код цифровой идентификации
- Номера медицинского страхования: Форматы BGZ и EP для медицинских записей
Универсальный инструмент может распознавать IBAN, но упускать контрольную сумму BSN или формат почтового индекса. Проверьте распознавание BSN перед обработкой данных национальных удостоверений. Не полагайтесь на предположения об охвате.
Действия для нидерландских организаций
1. Аудит передач данных: Составьте перечень всех потоков данных в третьи страны. Проверьте действующие SCC. Проведите TIA для ключевых потоков. Зафиксируйте дополнительные технические меры там, где TIA выявляет риски.
2. Проверка мониторинга работников: Составьте перечень всех инструментов мониторинга, включая ИИ. Проверьте наличие документов об одобрении производственного совета. Убедитесь, что проверки цели оформлены письменно.
3. Проверка охвата персональных данных: Протестируйте распознавание BSN, почтового индекса и IBAN в ваших инструментах защиты персональных данных. Проверьте точность на нидерландскоязычных документах.
4. Оценка рисков технологических компаний: Стартупы должны документировать решения, снижающие риск передачи данных: облако в регионе ЕС и возможности локальной обработки. Облачные провайдеры с инфраструктурой в ЕС и США должны документировать инструменты передачи данных и подход к TIA.
anonym.legal использует центры обработки данных Hetzner в ЕС с архитектурой нулевого знания. Сервер никогда не видит ваш контент в открытом виде. Полная компрометация сервера даёт злоумышленнику только шифротекст AES-256-GCM. Нужна локальная обработка? Приложение для рабочего стола работает полностью на вашем устройстве без внешних подключений.
Источники
- Нидерландский AP: официальный сайт — VERIFIED-EXTERNAL
- Нидерландский AP: решение по делу Uber (август 2024) — VERIFIED-EXTERNAL
- EDPB: Рекомендации 01/2020 о дополнительных мерах — VERIFIED-EXTERNAL