DSB Austria: Schrems na Uhamishaji wa Data
Datenschutzbehörde (DSB) ya Austria ni msimamizi wa nyumbani wa NOYB. NOYB inamaanisha None of Your Business. Max Schrems alianzisha kikundi hicho. Imefungua malalamiko zaidi ya 1,000 ya GDPR tangu 2018. DSB ilishughulikia malalamiko 422 kati ya hayo kati ya 2022 na 2024.
Hiyo ni rekodi muhimu. DSB iko katikati ya vita viwili vya kisheria ambavyo tayari vilibadilisha sheria ya uhamishaji wa EU.
NOYB na DSB: Mfumo
Schrems I (2015): Schrems alifungua malalamiko kuhusu mtiririko wa EU-US wa Facebook. CJEU ilipiga marufuku Safe Harbor. Zaidi ya makampuni 4,000 yalitumia mfumo huo wakati huo.
Schrems II (2020): Changamoto ya pili iliipiga Privacy Shield. Makampuni zaidi ya 5,000 yalitegemea. Kuanguka kwake kukulazimisha mazungumzo mapya. Matokeo yalikuwa EU-US Data Privacy Framework (DPF). DPF ilianza kutumika mwaka 2023.
Schrems III Inayotarajiwa (2025-2026): NOYB imepinga uamuzi wa kutosha wa DPF. Hoja yake: Kifungu cha 702 cha FISA bado kinakinzana na GDPR. Kuelekeza kwa CJEU kunatarajiwa.
Asilimia 78 ya kesi za DSB zinahusiana na uhamishaji wa mipakani au zana za wahusika wengine. Uzingatifu huo unabainisha wasimamizi wa Austria kutoka miili mingine ya EU.
Uamuzi wa DSB wa Google Analytics
Uamuzi wa DSB wa Januari 2022 wa Google Analytics uliweka kiolezo kwa kesi za uhamishaji.
Matokeo matatu makuu yalitoka kwake:
- Anwani za IP ni data ya kibinafsi. Hata IP zilizofupishwa zinaweza kuwezesha utambulisho upya ndani ya mifumo ya Google. Rekodi za kikao huzidisha hilo.
- Upatikanaji wa muuzaji wa Marekani huhesabika kama uhamishaji. Wahandisi wa Marekani wanapoweza kufikia rekodi za watumiaji wa EU, upatikanaji huo ni uhamishaji chini ya GDPR. Hii inajumuisha usaidizi, matengenezo, na amri za kisheria.
- SCCs bila TIA hazitoshi. Vipengele vya Kimkataba Bora vinahitaji Tathmini ya Athari ya Uhamishaji. TIA lazima ionyeshe kwamba sheria za upelelezi za Marekani haziuui ulinzi wa SCC.
DSB iligundua kwamba msimamizi wa tovuti wa Austria ndiye aliyebeba dhamana — si Google. Msimamizi ndiye aliyekuwa kidhibiti. Hii inatumika kwa kila biashara ya EU inayoingiza hati za maudhui za wahusika wengine. Angalia mwongozo wetu wa utiifu wa GDPR kwa wajibu wa kidhibiti.
Hatua za Ziada za Kiufundi
Baada ya Schrems II, EDPB ilichapisha mwongozo wa hatua za ziada za kiufundi. Zinatumika SCCs zinaposhindwa peke yake. DSB inatekeleza mwongozo huu.
Mbinu tatu zinapita ukaguzi wa DSB:
Usimbaji fiche wenye funguo za EU. Simba fiche rekodi kabla hazijaondoka EU. Weka funguo za usimbuaji mikononi mwa EU. Mamlaka ya Marekani yakimshawishi muuzaji kukabidhi faili, wataapata maandishi ya usimbuaji ambayo hawawezi kusoma.
Pseudonymization kabla ya uhamishaji. Tuma tu alama za pseudonymous mipakani. Weka funguo ya utambulisho upya ndani ya EU. Faili zilizohamishiwa hazibeba data yoyote ya moja kwa moja ya kibinafsi.
Uchakataji wa ndani. Endesha uchakataji wote kwenye seva zilizopangishwa na EU. Hamisha tu takwimu za jumla, zisizo na utambulisho kweli kweli. Hakuna rekodi za kibinafsi zinazovuka mipaka.
DSB imethibitisha msimamo huu. Vikundi vinavyotumia wachuuzi wa SaaS wa Marekani kwa data ya kibinafsi ya EU lazima vitumie angalau moja ya mbinu hizi. Au lazima vithibitishe kwamba maudhui yaliyohamishwa yana anonymization ya kweli.
Hatari ya Schrems III
Makampuni yanayotegemea DPF peke yake yanakabiliwa na hatari iliyo wazi. Changamoto ya CJEU ya NOYB ikifaulu, makampuni hayo lazima yatafute zana mpya za uhamishaji haraka. Hiyo ni hasa kilichotokea mwaka 2015 na 2020.
Vikundi vinavyotumia hatua za ziada za kiufundi vinalindwa. Ikiwa maudhui yana anonymization ya kweli, hakuna uhamishaji wa GDPR unaotokea. Kuanguka kwa DPF hakubadilishi chochote kwao.
Kwa shughuli za Austria: zana za uchanganuzi (Google Analytics, Mixpanel, Amplitude) zote zinaunda mfiduo wa DSB. Vivyo hivyo mifumo ya CRM yenye makampuni mama ya Marekani (Salesforce, HubSpot). Majukwaa ya wingu ambapo wafanyakazi wa Marekani wana upatikanaji wa msimamizi yanabeba hatari sawa.
Suluhisho ni sawa katika kila kesi. Hakikisha rekodi za kibinafsi zina anonymization ya kweli kabla hazijafika kwa muuzaji. Au simba fiche kwa funguo ambazo kidhibiti cha EU tu kinamiliki. Muhtasari wetu wa usalama na utiifu unaelezea jinsi muundo wa zero-knowledge unavyoondoa tatizo la uhamishaji chanzo chake.
Vyanzo
- DSB: Mamlaka ya Ulinzi wa Data ya Austria — VERIFIED-EXTERNAL
- NOYB: Kesi za Kimkakati — VERIFIED-EXTERNAL
- CJEU: Uamuzi wa Schrems II C-311/18 (2020) — VERIFIED-EXTERNAL
- EDPB: Mapendekezo 01/2020 kuhusu hatua za ziada za uhamishaji — VERIFIED-EXTERNAL