Nizozemski AP in globa Uberja
Avgusta 2024 je nizozemski AP Uberju izrekel globo 290 milijonov EUR. Uber je posredoval podatke voznikov EU na americke streznike brez pravne podlage. Ti podatki so vkljucevali dovoljenja za taksije, kazenske evidence, zdravstvene zapise in dnevnike potovanj.
Uber je prejemal podatke po tem, ko je Schrems II julija 2020 odpravil EU-US Privacy Shield. Te prenose je nadaljeval dve leti. Brez standardnih pogodbenih klavzul. Brez nobenega orodja po clenu 46.
Ta globa je najvecja v EU za krsitev prenosa podatkov. Po obsegu je tretja med vsemi globami GDPR kdaj koli. Napake pri prenosih zdaj prinasajo ogromne stroskeNe le krsitve.
Oglejte si nas vodnik za skladnost z GDPR za hiter pregled.
Prednostna podrocja izvrsvanja AP
Nizozemski AP je leta 2023 prejel vec kot 21.400 pritožb. Osredotoca se na tri podrocja.
Prednostna naloga 1 - Nadzor delavcev (43 % primerov): Mnoga nizozemska podjetja so se soocila z globami AP za nadzor osebja. Skrite kamere, celoviti pregledi elektronske poste in sledenje GPS brez obvestila sproži ukrepanje. Nizozemsko delovno pravo dodaja dodatna pravila poleg GDPR.
Prednostna naloga 2 - Cezmejni prenosi (31 % primerov): Po globi Uberja in skupni preiskavi z irskim DPC o Cloudflare (2023) je AP okrepil nadzor nad prenosi. Amsterdamski tehnoloski sektor je tu mocno izpostavljen. Oblacna podjetja, fintech in hitro rastoce zagonske druzbe so vse v obsegu.
Prednostna naloga 3 - Trženje in profiliranje (26 % primerov): To pokriva soglasje za piskotke, ciljano oglaševanje in neposredno trženje. AP zavzema strog pogled na "zakoniti interes". Zahteva pisne preizkuse z jasnimi dokazi.
Pravila prenosa po Uberju
Ocene ucinkov prenosa (TIA): EDPB zahteva TIA za vsak prenos v tretjo državo. TIA mora prikazati, da ciljna država zagotavlja enako zascito kot pravo EU. AP pravi, da mora TIA odgovoriti na stiri vprasanja:
- Kaksni so zakoni o dostopu v ciljni državi?
- Kako dalec sežejo obvescevalne agencije?
- Kaksna je evidenca vladnih zahtev do uvoznika podatkov?
- Katera pravna sredstva lahko uveljavljajo posamezniki?
Standardne pogodbene klavzule - same po sebi ne zadostujejo: SCC same po sebi ne izpolnjujejo clena 46. Ce TIA pokaže tveganje vladnega dostopa, so potrebni dodatni ukrepi.
Dodatni tehnicni ukrepi, ki jih AP sprejema:
- Sifriranje, pri katerem uvoznik nima dostopa do kljucev za desifriranje
- Odstranitev neposrednih identifikatorjev pred prenosom, tako da uvoznik ne more povezati podatkov z osebo
- Zmanjsanje podatkov pred prenosom z odstranitvijo polj, ki jih uvoznik ne potrebuje
Namenska namizna aplikacija izvaja vse delo na vasi napravi. Ne posreduje nobenih podatkov navzven. To odpravlja vprasanje prenosa za to dejavnost. Oglejte si nas pregled varnosti in skladnosti.
Podatki zaposlenih in nizozemsko delovno pravo
43-odstotni poudarek AP na nadzoru delavcev prikazuje, kako se GDPR in nizozemsko delovno pravo prekrivata.
Za organizacije s sedežem na Nizozemskem veljajo tri pravila:
Soglasje sveta delavcev: Podjetje s svetom delavcev mora pred uvedbo katerega koli orodja za nadzor pridobiti njegovo odobritev. To pokriva orodja UI, preglede e-pošte in sisteme za evidentiranje prisotnosti.
Ustreznost namenu: Nadzor mora ustrezati navedenemu cilju. Skrit nadzor ni dovoljen. Odprt nadzor mora biti najmanj vsiljiva možnost.
Omejitev namena: Kadrovskih podatkov, zbranih za en cilj, ni mogoce uporabiti za drug namen. Potrebna je nova pravna podlaga.
Ta pravila zahtevajo tri zapise: odobritev sveta, preizkus namena in kontrole. Nas kontrolni seznam skladnosti pokriva vse tri.
Zaznavanje nizozemskega OOP
Orodja za OOP na Nizozemskem morajo obvladovati lokalne oblike ID. Standardna globalna orodja jih pogosto zamudijo:
- BSN (Burger Service Nummer): 9-mestni nizozemski nacionalni ID - zahteva validacijo kontrolne vsote
- IBAN (predpona NL): Nizozemski IBAN z lastno logiko validacije
- Postna stevilka (postcode): Oblika je 4 stevke + presledek + 2 crki
- DigiD: Vladna digitalna identifikacijska koda
- Stevilke zdravstvenega zavarovanja: Obliki BGZ in EP za zapise pacientov
Splosno orodje lahko ujame IBAN, a zamudi kontrolno vsoto BSN ali obliko postne stevilke. Preizkusite zaznavanje BSN, preden obdelujete podatke o nacionalni identiteti. Ne predpostavljajte pokritosti.
Koraki za nizozemske organizacije
1. Revizija prenosov: Navedite vse tokove podatkov v tretje države. Preglejte obstoječe SCC. Izvedite TIA za kljucne tokove. Zabeležite dodatne tehnicne ukrepe, ko TIA opozori na tveganje.
2. Pregled nadzora delavcev: Navedite vsa orodja za nadzor, vkljucno z UI. Preverite evidence odobritev sveta delavcev. Potrdite, da pisni preizkusi namena obstajajo.
3. Preverjanje pokritosti OOP: Preizkusite zaznavanje BSN, postne stevilke in IBAN v vasih orodjih za OOP. Preizkusite natancnost na dokumentih v nizozemscini.
4. Izpostavljenost tehnoloskega sektorja: Zagonske druzbe bi morale zabeležiti odlocitve, ki zmanjsujejo tveganje prenosa - moznosti oblaka v regiji EU in lokalnega procesiranja. Ponudniki oblaka z nastavitvami EU-US bi morali dokumentirati svoja orodja za prenos in pristop k TIA.
anonym.legal uporablja podatkovne centre Hetzner na obmocju EU z zasnovo brez znanja. Streznik nikoli ne vidi vase vsebine v cistopisu. Popoln vdor v streznik prinese le sifrirano besedilo AES-256-GCM. Potrebujete lokalno obdelavo? Namizna aplikacija deluje v celoti na vasi napravi brez zunanjih povezav.
Viri
- Nizozemski AP: Uradna stran Autoriteit Persoonsgegevens - VERIFIED-EXTERNAL
- Nizozemski AP: Izvrsna odlocitev Uber (avgust 2024) - VERIFIED-EXTERNAL
- EDPB: Priporocila 01/2020 o dopolnilnih ukrepih - VERIFIED-EXTERNAL