Zakaj Irska vodi izvrsevanje EU
Irska Komisija za varstvo podatkov (DPC) je vodilni organ za vecino vecjih evropskih tehnoloski podjetij. To ni naključje.
Irska nizka davcna stopnja je pritegnila Apple, Google, Meta, LinkedIn in TikTok. Vsi so tam vzpostavili svoje glavne pisarne za EU.
Clen 60 GDPR daje DPC položaj vodilnega organa za ta podjetja. Iz tega pravila izhajajo tri stvari.
Prvo: pritožba v Nemciji zoper Facebook gre irskemu DPC, ne nemskemu BfDI. Drugic: DPC sodeluje z drugimi organi EU pri cezmejinih primerih. Tretjic: odlocitev DPC zoper Meta velja po vsej EU.
Rezultat je jasen. DPC je izdal vec vrednosti glob kot vsi drugi organi EU skupaj. Oglejte si nas pregled skladnosti z GDPR o tem, kako to vpliva na odlocitve o prodajalcih.
Tri globe, ki opredeljujejo leta 2024-2025
530 milijonov EUR zoper TikTok (maj 2025): Kitajski inženerji so dostopali do zapisov uporabnikov EU. S tem so krsili clene 44-46 GDPR. Ta pravila omejujejo prenose v države brez odlocitve EU o ustreznosti. Kitajska je nima. TikTok je trdil, da ima ustrezne kontrole. DPC je ugotovil, da jih nima.
310 milijonov EUR zoper LinkedIn (oktober 2024): LinkedIn se je pri analizi vedenja zanašal na "zakoniti interes". DPC je ugotovil, da ta ni veljaven. Obdelava ni bila potrebna za navedeni cilj. Preizkus uravnoteženosti ni bil v korist LinkedIn.
251 milijonov EUR zoper Meta (november 2024): Krsitev Facebooka iz leta 2018 ni bila pravocasno prijavljena DPC. DPC je ugotovil, da so slabi revizijski dnevniki onemogocili merjenje obsega razkritih podatkov.
Te tri so se pridruzile prejsnji globi Meta v vrednosti 1,2 milijarde EUR iz maja 2023. Tudi to globo je izdal DPC, in sicer za nezakonite prenose EU-US. Ostaja najvecja kazen GDPR, kdaj koli izrecena.
DPC je leta 2024 obravnaval vec kot 8.500 cezmejinih primerov. Oglejte si naso stran o varnosti in skladnosti, da ugotovite, kako zasnova brez znanja naslavlja vsako napako.
Kaj nam vsaka globa razkrije
Napake pri cezmejinam dostopom
Vse tri globe imajo eno skupno temeljno vprasanje. Osebni zapisi so bili dostopni osebju v državah brez pravil o zasebnosti na ravni EU.
Globa TikToka je bila neposredna. Zapisi uporabnikov EU so doseglikitajske inženerje kljub navedenim kontrolam.
Kaj to pomeni za izbor prodajalcev: Vprasajte, ali inženerji zunaj EU v okviru normalnega dela lahko dostopajo do zapisov uporabnikov EU. Prodajalec je morda nameščen v Dublinu, a se EU zapise se vedno razkrije prek americkih pomocnih inženerjev. Sama namestenost v EU ni dovolj. Nas vodnik za obdelavo entitet prikazuje, kako kontrole dostopa se nanasajo na clen 46 GDPR.
Napake pri zakoniti podlagi
Globa LinkedIn ni bila posledica krsitve. Slo je za to, kako je LinkedIn utemeljeval svojo obdelavo.
"Zakoniti interes" ni splosna pravica. Upravljavci morajo dokumentirati pristen preizkus uravnoteženosti. Ta preizkus mora prikazati, da njihov interes pretehta pravice uporabnikov. Nas stran za skladnost zajema, kako pregledati zahtevke prodajalcev glede zakonite podlage.
Napake pri beleženju in obveščanju
Globa Meta v vrednosti 251 milijonov EUR vkljucuje kljucno ugotovitev. Slabi revizijski dnevniki so onemogocali merjenje obsega krsitve.
Clen 33 GDPR zahteva prijavo krsitve v 72 urah. Ta prijava mora vkljucevati obseg prizadetih zapisov. Ne morete porocati o obsegu, ki ga ne morete izmeriti.
Potencialne prodajalce vprasajte o strukturi njihovih revizijskih dnevnikov. Ce prodajalec po incidentu ne more odgovoriti na vprasanje, kateri zapisi so bili razkriti, ni skladen s clenom 33(3)(b).
Vzorec v primerih DPC
Ce preberete vse stiri glavne globe DPC, se pojavi en vzorec. Regulatorji ukrepajo zoper zasnove, pri katerih inženerji prodajalcev vidijo vsebino uporabnikov. Vsaka vecja globa je vkljucevala slabo nadzorovanbrez dostop do osebnih zapisov.
Zasnova brez znanja naslavlja temeljno skrb v vsakem primeru. Vsebina uporabnikov je sifrirana. Prodajalec ne hrani kljucev za desifriranje.
Za primere prenosov TikTok in Meta inženerji zunaj EU dosežejo streznik, a vidijo le sifrirano besedilo. Nobeni berljivi zapisi niso razkriti. Za primer krsitve Meta popoln kompromis streznika ne prinese nicesar uporabnega. Obseg krsitve se zmanjsa. Pri LinkedIn prodajalec, ki nikoli ne vidi cistopisa, ne more nad njim izvajati analize vedenja.
To je neposreden odgovor na vsak ukrep DPC. Oglejte si nas pregled varnosti za podrobnosti ali nas izjavo ustanovitelja o tem, zakaj je bil anonym.legal zgrajen na ta nacin od samega zacetka.
Kaj pomeni "glavni sedež"
Nekatera podjetja usmerjajo svojo strukturo EU, da nadzorujejo, kateri DPA ima pristojnost. Tu je stalisče DPC pomembno.
"Glavni sedež" ni le naslov podjetja. To je kraj, kjer sedi osrednji management EU. Pri upravljavcih je to tam, kjer se sprejemajo odlocitve o ciljih obdelave.
Podjetje z londonsko ekipo za zasebnost morda nima glavnega sedeža v EU. Vsak DPA clanice bi nato lahko uveljavljal pristojnost za lokalne pritožbe.
Vprasanja za pregled prodajalcev
Uporabite ta vprasanja pri oceni prodajalcev SaaS, ki obdelujejo osebne zapise.
Pristojnost in dostop:
- Kje je glavni sedež prodajalca v EU?
- Ali osebje zunaj EU lahko dostopa do zapisov uporabnikov EU v okviru normalnega dela?
- Ali je maticna druzba prodajalca zavezana zakonu CLOUD Act ali kitajskim varnostnim zakonom?
Tehnicna zasnova:
- Ali vsebina uporabnikov EU ostaja na streznikih na obmocju EU?
- Ali prodajalec hrani sifrirne kljuce ali pa to stori stranka?
- Ali so revizijski dnevniki dovolj podrobni za merjenje obsega krsitve?
Evidence prenosov:
- Kateri mehanizem po clenu 46 GDPR pokriva morebitne tokove EU-US?
- Ali je prodajalec izvedel oceno ucinkov prenosa?
- Kateri dodatni tehnicni ukrepi so vzpostavljeni?
Izvrsvanje DPC je dosledno glede ene tocke. Celo podjetja s ekipami za zasebnost in DPO se soocajo z visokimi globami, ko njihova tehnicna zasnova ne ustreza njihovim trditvam. Oglejte si nase studije primerov in FAQ za vec.
anonym.legal uporablja streznike Hetzner v EU z zasnovo brez znanja. Strezniki hranijo le sifrirano besedilo AES-256-GCM. Popolna krsitev ne razkrije nobenih berljivih zapisov. Namizna aplikacija obdeluje vso vsebino na napravi brez zunanjih povezav.
Viri
- Irski DPC - Uradne izvrsne odlocitve - VERIFIED-EXTERNAL
- EDPB - Mehanizem vse-na-enem-mestu - VERIFIED-EXTERNAL
- Besedilo GDPR - Cleni 33, 44-46, 60 - VERIFIED