Holandski AP i kazna za Uber
U avgustu 2024, holandski AP je kaznio Uber sa 290 miliona evra. Uber je slao EU podatke vozaca na americke servere bez pravnog osnova. Ti podaci su ukljucivali taxi dozvole, kriminalne provere, medicinske zapise i dnevnike putovanja.
Uber je premestio podatke nakon sto je Schrems II ukinuo EU-US Privacy Shield u julu 2020. Nastavio je te prenose dve godine. Bez standardnih ugovornih klauzula. Bez ikakve mere iz clana 46.
Ova kazna je najveca EU kazna za povredu prenosa podataka. Ona zauzima trece mesto medju svim GDPR kaznama ikada. Propusti u prenosu sada nose ogromne troskove. Ne samo povrede.
Pogledajte nas vodic za uskladjenost s GDPR-om za brzi pregled.
Prioritetne oblasti primene AP
Holandski AP je primio vise od 21.400 prituzbi u 2023. Fokusira se na tri oblasti.
Prioritet 1 -- Pracenje radnika (43% slucajeva): Mnoge holandske firme suocile su se s kaznama AP-a zbog pracenja osoblja. Skrivene kamere, masovne provere e-maila i GPS pracenje bez obavestenja pokrecugo akciju. Holandsko radno pravo dodaje dodatna pravila pored GDPR-a.
Prioritet 2 -- Prekogranicni prenosi (31% slucajeva): Posle kazne za Uber i zajednicke istrage s irskim DPC-om o Cloudflare-u (2023.), AP je pojacao nadzor prenosa. Tehnoloski sektor Amsterdama suocen je s visokim rizikom ovde. Cloud firme, finteh i brzorastuca startap preduzeca su sva u opsegu.
Prioritet 3 -- Marketing i profilisanje (26% slucajeva): Ovo pokriva saglasnost za kolacice, ciljanje oglasa i direktni marketing. AP zauzima strogi stav o "legitimnom interesu". Zahteva pisane testove s jasnim dokazima.
Pravila prenosa posle Ubera
Procene uticaja prenosa (TIA): EDBP zahteva TIA za svaki prenos u trecu zemlju. TIA mora pokazati da odrediste pruzaj jednaku zastitu kao EU pravo. AP kaze da TIA mora odgovoriti na cetiri pitanja:
- Kakvi su zakoni o pristupu u odredisnoj zemlji?
- Koliko daleko mogu dosegnuti obavestajna agencija?
- Kakva je evidencija vladinih zahteva upucenih uvozniku podataka?
- Kakve pravne lekove mogu koristiti ispitanici?
Standardne ugovorne klauzule -- same nisu dovoljne: SCC same po sebi ne zadovoljavaju clan 46. Ako TIA pokazuje rizik vladinog pristupa, potrebne su dodatne mere zastite.
Dodatne tehnicke mere koje AP prihvata:
- Enkripcija gde uvoznik nema pristup kljucevima za dekriptovanje
- Uklanjanje direktnih ID-ova pre prenosa tako da uvoznik ne moze povezati podatke s osobom
- Smanjenje podataka pre prenosa, iskljucivanjem polja koja uvozniku nisu potrebna
Vanmrezna aplikacija za radnu povrsinu izvrsava sav posao na vasem uredjaju. Ne salje nikakve podatke napolje. Ovo uklanja problem prenosa za tu aktivnost. Pogledajte nas pregled bezbednosti i uskladjenosti.
Podaci zaposlenih i holandsko radno pravo
Fokus AP od 43% na pracenje radnika pokazuje kako se GDPR i holandsko radno pravo preklapaju.
Tri pravila se primenjuju za organizacije sa sedistem u Holandiji:
Odobrenje radnickog saveta: Kompanija s radnickim savetom mora dobiti njegovo odobrenje pre uvodjenja bilo kog alata za pracenje. Ovo pokriva VI alate, provere e-maila i sisteme za pracenje prisustva.
Prikladnost svrsi: Pracenje mora odgovarati navedenoj svrsi. Skriveno pracenje nije dozvoljeno. Otvoreno pracenje mora biti najmanje nametljiva opcija.
Ogranicenje svrhe: HR podaci prikupljeni za jednu svrhu ne mogu se koristiti za drugu. Potrebna je nova zakonita osnova.
Ova pravila zahtevaju tri zapisa: odobrenje saveta, proveru svrhe i kontrole. Nasa lista za proveru uskladjenosti pokriva sva tri.
Detekcija LIP-a u Holandiji
LIP alati u Holandiji moraju rukovati lokalnim formatima ID-ova. Standardni globalni alati ih cesto propustaju:
- BSN (Burger Service Nummer): 9-cifreni holandski nacionalni ID -- zahteva validaciju kontrolne sume
- IBAN (NL prefiks): Holandski IBAN sa sopstvenom logikom validacije
- Postanski broj (postcode): Format je 4 cifre + razmak + 2 slova
- DigiD: Vladinski digitalni identifikacioni kod
- Zdravstveni brojevi: BGZ i EP formati za zapise pacijenata
Genericki alat moze uhvatiti IBAN ali propustiti BSN kontrolnu sumu ili format postanskog broja. Testirajteo BSN detekciju pre nego sto obradite podatke nacionalnog identiteta. Nemojte pretpostavljati pokrivenost.
Koraci za holandske organizacije
1. Revizija prenosa: Navedite sve tokove podataka ka trecim zemljama. Pregledajte SCC koje su na snazi. Sprovedite TIA za kljucne tokove. Zabelezte dodatne tehnicke mere gde TIA ukazuje na rizik.
2. Pregled pracenja radnika: Navedite sve alate za pracenje, ukljucujuci VI. Proverite zapise odobrenja radnickog saveta. Potvrdite da postoje pisane provere svrhe.
3. Provera pokrivenosti LIP-a: Testirajte BSN, postanski broj i IBAN detekciju u vasim LIP alatima. Testirajte tacnost na holandskim dokumentima.
4. Izlozenost tehnoloshog sektora: Startapi treba da beleze izbore koji smanjuju rizik prenosa -- EU-regionalni cloud i lokalne opcije obrade. Provajderi clouda s EU-US podesavanjima treba da dokumentuju svoje alate za prenos i pristup TIA.
anonym.legal koristi EU-bazirane Hetzner data centre sa zero-knowledge dizajnom. Server nikada ne vidi vas tekst u obicnom obliku. Potpuna povreda servera daje samo AES-256-GCM sifrat. Potrebna vam je obrada samo na lokalnom uredjaju? Aplikacija za radnu povrsinu radi u potpunosti na vasem uredjaju bez spoljnih veza.