Парадокс соблюдения
Организации используют инструменты анонимизации для достижения соблюдения GDPR. Инструмент является технической мерой в соответствии со статьей 32, которая защищает личные данные от несанкционированного доступа. Инструмент должен быть решением. Но если инструмент обрабатывает личные данные ЕС на серверах вне ЕС, то сам инструмент создает нарушение, которое он должен был предотвратить.
Штраф Голландского органа по защите данных в августе 2024 года в размере 290 миллионов евро против Uber — самый крупный штраф за нарушение передачи данных ЕС на тот момент — был наложен специально за передачу личных данных европейских водителей (имена, данные о местоположении, информация о платежах, удостоверения личности) на серверы Uber в США без адекватных мер защиты в соответствии со статьей 46 GDPR. Передача была систематической и продолжающейся. Вывод органа: операционная модель Uber, которая полагалась на инфраструктуру серверов США для обработки данных водителей ЕС, была непрерывным нарушением GDPR.
Модель Uber применима к инструментам анонимизации: инструмент SaaS, базирующийся в США, который получает личные данные ЕС на инфраструктуре США для обработки, участвует в том же типе передачи, за который Голландский орган по защите данных наложил штраф на Uber. Цель (анонимизация, а не управление поездками) не меняет юридический анализ.
Признание сообщества DPO
Профессиональное сообщество DPO все чаще поднимает этот парадокс с тех пор, как было принято решение Schrems II (2020), которое аннулировало Щит конфиденциальности ЕС-США и установило, что инфраструктура серверов США предположительно недостаточна для передачи личных данных ЕС без дополнительных мер защиты. Решение Schrems II создало анализ: для любого инструмента, базирующегося в США, который получает личные данные ЕС, организация должна документировать юридическую основу для передачи.
Суммарные штрафы по GDPR достигли 5,65 миллиарда евро к 2025 году (GDPR.eu). Нарушения трансфера данных через границу теперь в среднем составляют 18 миллионов евро за каждое действие по обеспечению соблюдения (DLA Piper 2025). Тенденция к обеспечению соблюдения означает, что парадокс соблюдения не является теоретической проблемой — он уже привел и продолжит приводить к значительным действиям по обеспечению соблюдения.
Архитектура с приоритетом для ЕС
Решение требует либо инфраструктуры серверов, расположенной в ЕС, для обработки анонимизации (данные никогда не покидают ЕС), либо архитектуры нулевого знания (никакие личные данные не достигают сервера), или того и другого.
Только хостинг на базе ЕС — компания, зарегистрированная в США, хостящая на серверах ЕС — может быть недостаточным. Анализ Schrems II применяется к американским компаниям, подчиняющимся законам о слежке в США, независимо от местоположения сервера: раздел 702 FISA и Исполнительный указ 12333 применяются к американским компаниям и их дочерним предприятиям, что означает, что материнская компания из США с серверами, расположенными в ЕС, может быть вынуждена предоставить доступ к данным, хранящимся на этих серверах ЕС.
Архитектура нулевого знания устраняет проблему местоположения сервера: если никакие личные данные не достигают сервера, юрисдикция сервера не имеет значения. Анонимизированные данные, которые достигают сервера — зашифрованные токены, замаскированные значения, необратимо преобразованные данные — не являются личными данными в соответствии с GDPR и не подлежат анализу передачи.
Источники:
- Голландский орган по защите данных, август 2024: штраф в размере 290 миллионов евро против Uber за нарушение передачи данных ЕС
- DLA Piper 2025: нарушения GDPR через границу в среднем составляют 18 миллионов евро за каждое действие по обеспечению соблюдения
- GDPR.eu: суммарные штрафы по GDPR достигают 5,65 миллиарда евро к 2025 году