Den holländska AP och Uber-boten
I augusti 2024 bötesfällde den holländska AP Uber med €290 miljoner. Uber skickade EU-chaufförsdata till amerikanska servrar utan rättslig grund. Datan inkluderade taxilicenser, brottsliga bakgrundskontroller, medicinska journaler och resloggar.
Uber fortsatte med dessa överföringar efter att Schrems II ogiltigförklarade EU-US Privacy Shield i juli 2020. Överföringarna pågick i två år utan standardavtalsklausuler och utan något Artikel 46-verktyg alls.
Denna bot är EU:s högsta för ett dataöverföringsbrott. Den rankas som den tredje högsta GDPR-boten någonsin. Överföringsbrott kostar nu enormt mycket — inte bara intrång.
Se vår GDPR-efterlevnadsguide för en snabb överblick.
AP:s tillsynsprioriteter
Den holländska AP tog emot över 21 400 klagomål 2023. Den fokuserar på tre områden.
Prioritet 1 — Personalövervakning (43 % av fallen): Många nederländska företag har bötesfällts av AP för att ha övervakat sin personal. Dolda kameror, massgranskningar av e-post och GPS-spårning utan information utlöser alla åtgärder. Holländsk arbetsrätt lägger till ytterligare regler ovanpå GDPR.
Prioritet 2 — Gränsöverskridande överföringar (31 % av fallen): Efter Uber-boten och en gemensam utredning med Irlands DPC om Cloudflare (2023) har AP intensifierat sin tillsyn av överföringar. Amsterdams tekniksektor har hög exponering. Molnföretag, fintech och snabbväxande startups är alla i fokus.
Prioritet 3 — Marknadsföring och profilering (26 % av fallen): Detta omfattar cookie-samtycke, annonsinriktning och direktmarknadsföring. AP intar en strikt hållning till "berättigat intresse". Det kräver skriftliga tester med tydliga bevis.
Överföringsregler efter Uber
Transfer Impact Assessments (TIA): EDPB kräver en TIA för varje överföring till tredjeland. TIA:n måste visa att destinationslandet ger ett likvärdigt skydd som EU-rätten. AP anser att en TIA måste besvara fyra frågor:
- Vilka är lagar om myndighetsåtkomst i destinationslandet?
- Hur långt kan underrättelsetjänsterna nå?
- Vad är spårjournal för statliga begäranden till dataimportören?
- Vilka rättsliga åtgärder kan registrerade vidta?
Standardavtalsklausuler — inte tillräckliga ensamma: SCC ensamma uppfyller inte Artikel 46. Om TIA:n visar risk för myndighetsåtkomst krävs ytterligare skyddsåtgärder.
Ytterligare tekniska åtgärder som AP accepterar:
- Kryptering där importören inte har tillgång till dekrypteringsnycklar
- Borttagning av direkta identifierare innan överföring så att importören inte kan länka data till en person
- Dataminskning innan överföring, med borttagning av fält importören inte behöver
anonym.legals Desktop-app läser filer på din enhet; identifieringen körs på det EU-värdade API:et (Hetzner, Falkenstein), så uppgifterna stannar i EU. För bearbetning helt utan extern anslutning körs vår systerprodukt anonym.plus helt på enheten. Se vår säkerhets- och kompliansöversikt.
Personaldata och holländsk arbetsrätt
AP:s 43-procentsfokus på personalövervakning visar hur GDPR och holländsk arbetsrätt samverkar.
Tre regler gäller för organisationer i Nederländerna:
Godkännande från samarbetsrådet (OR): Ett företag med ett samarbetsråd måste inhämta dess godkännande innan något övervakningsverktyg lanseras. Detta gäller AI-verktyg, e-postkontroller och närvarosystem.
Ändamålsenlighet: Övervakning måste motsvara sitt angivna mål. Dold övervakning är inte tillåten. Öppen övervakning måste vara det minst integritetskränkande alternativet.
Ändamålsbegränsning: HR-data som samlats in för ett ändamål kan inte användas för ett annat. En ny rättslig grund krävs.
Dessa regler kräver tre dokumentationstyper: OR:s godkännande, ändamålskontrollen och kontrollerna. Vår efterlevnadschecklista täcker alla tre.
Holländsk PII-detektering
PII-verktyg i Nederländerna måste hantera lokala ID-format. Standardglobala verktyg missar dem ofta:
- BSN (Burger Service Nummer): 9-siffrigt holländskt nationellt ID — kräver checksummavalidering
- IBAN (NL-prefix): Holländskt IBAN med egen valideringslogik
- Postnummer: Formatet är 4 siffror + mellanslag + 2 bokstäver
- DigiD: Statligt digitalt identitetsnummer
- Sjukvårdsnummer: BGZ- och EP-format för patientjournaler
Ett generiskt verktyg kan identifiera IBAN men missa BSN-checksumman eller postnummerformatet. Testa BSN-detektering innan du behandlar nationella identitetsdata. Ta inte täckning för given.
Steg för nederlandska organisationer
1. Överföringsrevision: Lista alla dataflöden till tredjeländer. Granska befintliga SCC:er. Genomför TIA:er för nyckelflöden. Dokumentera ytterligare tekniska åtgärder där en TIA pekar på risk.
2. Granskning av personalövervakning: Lista alla övervakningsverktyg, inklusive AI. Kontrollera OR:s godkännandedokumentation. Bekräfta att ändamålskontroller finns skriftligt.
3. PII-täckningskontroll: Testa BSN-, postnummer- och IBAN-detektering i dina PII-verktyg. Testa noggrannhet på nederlandskspråkiga dokument.
4. Teknologisektorexponering: Startups bör dokumentera val som minskar överföringsrisk — EU-regionbaserade molntjänster och lokala bearbetningsalternativ. Molnleverantörer med EU-US-upplägg bör dokumentera sina överföringsverktyg och TIA-tillvägagångssätt.
anonym.legal bearbetar text i EU-baserade Hetzner-datacenter (Falkenstein); zero-knowledge gäller inloggningen, så ditt lösenord lämnar aldrig din enhet. Behöver du enbart lokal bearbetning? Vår systerprodukt anonym.plus körs helt på din enhet; anonym.legals Desktop-app läser filer på din enhet; identifieringen körs på det EU-värdade API:et.
Källor
- Holländska AP: Autoriteit Persoonsgegevens officiell webbplats — VERIFIED-EXTERNAL
- Holländska AP: Uber tillsynsbeslut (augusti 2024) — VERIFIED-EXTERNAL
- EDPB: Rekommendationer 01/2020 om kompletterande åtgärder — VERIFIED-EXTERNAL