Zasto Irska predvodi primenu EU
Irska Komisija za zastitu podataka (DPC) je vodecc organ za vecinu velikih EU tehnoloshih kompanija. Ovo nije slucajnost.
Niska poreska stopa Irske privukla je Apple, Google, Meta, LinkedIn i TikTok. Svi su osnovali svoje glavne EU kancelarije tamo.
Clan 60 GDPR-a cini DPC vodecim organom za ove firme. Tri stvari slede iz ovog pravila.
Prvo, prituzba u Nemackoj o Facebook-u ide irskom DPC-u, a ne nemackom BfDI. Drugo, DPC saradzuje s drugim EU telima na prekogranicnim slucajevima. Trece, presuda DPC-a protiv Meta primenjuje se na citavu EU.
Rezultat je jasan. DPC je izdao vise vrednosti kazni nego sva ostala EU tela zajedno. Pogledajte nas pregled uskladjenosti s GDPR-om o tome kako ovo oblikuje odluke prodavaca.
Tri kazne koje definisu 2024-2025.
530 miliona evra protiv TikTok-a (maj 2025.): Kineski inzenjeri pristupali su EU korisnickim zapisima. Ovo je prekrsilo clanove 44-46 GDPR-a. Ta pravila ogranicavaju prenose u zemlje bez EU odluke o adekvatnosti. Kina nema takvu. TikTok je tvrdio da ima adekvatne kontrole. DPC je rekao da nema.
310 miliona evra protiv LinkedIn-a (oktobar 2024.): LinkedIn se oslanjao na "legitimni interes" za analizu ponasanja. DPC je utvrdio da ovo nije valjano. Obrada nije bila potrebna za navedenu svrhu. Test ravnoteze nije bio u korist LinkedIn-a.
251 milion evra protiv Meta-e (novembar 2024.): Povreda Facebooka iz 2018. nije prijavljena DPC-u na vreme. DPC je takodje utvrdio da losi revizorski dnevnici cine nemogucim merenje sta je bilo izlozeno.
Ova tri slucaja pridruzila su se ranijoj kazni Meta od 1,2 milijarde evra iz maja 2023. I ta kazna dosla je od DPC-a, zbog nezakonitih EU-US prenosa. To ostaje najveca GDPR kazna ikada izdata.
DPC je obradio vise od 8.500 prekogranicnih slucajeva u 2024. Pregledajte nasu stranicu o bezbednosti i uskladjenosti da vidite kako zero-knowledge dizajn adresira svaki propust.
Sta svaka kazna otkriva
Propusti u prekogranicnom pristupu
Sve tri kazne dele jedno osnovno pitanje. Licni zapisi bili su dostupni osoblju u zemljama bez EU-nivoa pravila privatnosti.
Kazna TikTok-a bila je direktna. EU korisnicke datoteke dostigle su kineske inzenjere uprkos navedenim kontrolama.
Sta ovo znaci za izbor prodavca: Pitajte da li ne-EU inzenjeri mogu pristupiti EU korisnickim zapisima u normalnom radu. Prodavac moze biti smesten u Dablinu ali i dalje izlagati EU datoteke putem americkog osoblja za podrsku. Rezidentnost u EU sama nije dovoljna. Nas vodic za obradu entiteta pokazuje kako se kontrole pristupa mapiraju na clan 46 GDPR-a.
Propusti u zakonitoj osnovi
Kazna LinkedIn-a nije bila zbog povrede. Bila je o tome kako je LinkedIn opravdao svoju obradu.
"Legitimni interes" nije opcte pravo. Rukovaoci moraju dokumentovati pravi test ravnoteze. Taj test mora pokazati da njihov interes prevazilazi prava korisnika. Nasa stranica uskladjenosti pokriva kako pregledati tvrdnje prodavaca o zakonitoj osnovi.
Propusti u belezenju i obavestavan
Kazna Meta od 251 milion evra ukljucivala je kljucni nalaz. Losi revizorski dnevnici cinili su opseg povrede nemogucim za merenje.
Clan 33 GDPR-a zahteva obavestenje o povredi u roku od 72 sata. To obavestenje mora ukljuciti opseg pogodjenih zapisa. Ne mozete prijaviti opseg koji ne mozete izmeriti.
Pitajte potencijalne prodavce o strukturi njihovog revizorskog dnevnika. Ako prodavac ne moze odgovoriti na pitanje "koji zapisi su bili izlozeni?" posle incidenta, ne prolaze clan 33(3)(b).
Obrazac kroz DPC slucajeve
Pregledajte sve cetiri glavne DPC kazne i jedan obrazac se pojavljuje. Regulatori deluju protiv dizajna gde inzenjeri prodavca mogu videti sadrzaj korisnika. Svaka glavna kazna ukljucivala je lose kontrolisani pristup licnim zapisima.
Zero-knowledge dizajn adresira osnovnu zabrinutost u svakom slucaju. Korisnicki sadrzaj je enkriptovan. Prodavac ne drzj kljuceve za dekriptovanje.
Za TikTok i Meta slucajeve prenosa, ne-EU inzenjeri dostizu server ali vide samo sifrat. Nijedni citljivi zapisi nisu izlozeni. Za Meta slucaj povrede, potpuni kompromis servera ne daje nista korisno. Opseg povrede se smanjuje. Za LinkedIn, prodavac koji nikada ne vidi obicni tekst ne moze pokretati analizu ponasanja na njemu.
Ovo je direktan odgovor na svaku DPC akciju. Pogledajte nas bezbednosni pregled za detalje, ili nasu izjavu osnivaca o tome zasto je anonym.legal izgraden na ovaj nacin od prvog dana.
Sta znaci "glavno sediste"
Neke kompanije usmeravaju svoju EU strukturu kako bi kontrolisale koji DPA ima nadleznost. Stav DPC-a je ovde vazan.
"Glavno sediste" nije samo adresa kompanije. To je gde centralni EU menadzment sedi. Za rukovaoce, to je gde se donose odluke o svrhama obrade.
Firma s londonskim timom za privatnost mozda nema EU glavno sediste. DPA svake drzave clanice bi tada mogao traziti nadleznost za lokalne prituzbe.
Pitanja za pregled prodavaca
Koristite ova pitanja kada ocenjujete SaaS prodavce koji rukuju licnim zapisima.
Nadleznost i pristup:
- Gde je EU glavno sediste prodavca?
- Da li ne-EU osoblje moze pristupiti EU korisnickim zapisima u normalnom radu?
- Da li je maticna kompanija prodavca podlozna CLOUD Act-u ili kineskim bezbednosnim zakonima?
Tehniciki dizajn:
- Da li EU korisnicki sadrzaj ostaje na EU-smestenim serverima?
- Da li prodavac drzi kljuceve enkripcije, ili ih drzi klijent?
- Da li su revizorski dnevnici dovoljno detaljni za merenje opsega povrede?
Zapisi prenosa:
- Koji mehanizam iz clana 46 GDPR-a pokriva sve EU-US tokove?
- Da li je prodavac uradio Procenu uticaja prenosa?
- Koje dodatne tehnicke mere su na snazi?
Primena DPC-a je konzistentna u jednoj tacki. Cak i firme s timovima za privatnost i DPO-ovima suocavaju se s velikim kaznama kada njihov tehniciki dizajn ne odgovara njihovim tvrdnjama. Pogledajte nase studije slucaja i FAQ za vise.
anonym.legal koristi EU-bazirane Hetzner servere sa zero-knowledge dizajnom. Serveri cuvaju samo AES-256-GCM sifrat. Potpuna povreda ne izlaze citljive zapise. Aplikacija za radnu povrsinu obradjuje sav sadrzaj na uredjaju bez spoljnih veza.