DSB ออสเตรีย: Schrems และการถ่ายโอนข้อมูล
Datenschutzbehörde (DSB) ของออสเตรียเป็นหน่วยงานกำกับดูแลหลักของ NOYB NOYB ย่อมาจาก None of Your Business ก่อตั้งโดย Max Schrems องค์กรนี้ยื่นร้องเรียน GDPR มากกว่า 1,000 รายการนับตั้งแต่ปี 2018 DSB รับผิดชอบ 422 คดีระหว่างปี 2022 ถึง 2024
ประวัติดังกล่าวมีความสำคัญมาก DSB อยู่ใจกลางการต่อสู้ทางกฎหมายสองเรื่องที่เปลี่ยนแปลงกฎหมายการถ่ายโอนข้อมูลของ EU ไปอย่างสิ้นเชิง
NOYB และ DSB: รูปแบบที่คงเส้นคงวา
Schrems I (2015): Schrems ยื่นร้องเรียนเกี่ยวกับการไหลของข้อมูลระหว่าง EU และสหรัฐฯ ของ Facebook ศาล CJEU ยกเลิก Safe Harbor กรอบการทำงานนี้มีบริษัทกว่า 4,000 แห่งใช้งานอยู่ในเวลานั้น
Schrems II (2020): การท้าทายครั้งที่สองทำให้ Privacy Shield ล่มสลาย บริษัทมากกว่า 5,000 แห่งพึ่งพากลไกนี้ การล้มครืนบังคับให้เกิดการเจรจาใหม่ ผลที่ได้คือ EU-US Data Privacy Framework (DPF) ซึ่งมีผลบังคับใช้ในปี 2023
Schrems III ที่คาดว่าจะเกิดขึ้น (2025–2026): NOYB ได้ท้าทายการตัดสินความเพียงพอของ DPF โดยอ้างว่า FISA มาตรา 702 ยังขัดแย้งกับ GDPR คาดว่าจะมีการส่งเรื่องให้ CJEU พิจารณา
78% ของคดี DSB เกี่ยวข้องกับการถ่ายโอนข้อมูลข้ามพรมแดนหรือเครื่องมือบุคคลที่สาม จุดเน้นนี้ทำให้หน่วยงานกำกับดูแลออสเตรียแตกต่างจากองค์กร EU อื่นๆ
คำวินิจฉัย Google Analytics ของ DSB
คำวินิจฉัยเรื่อง Google Analytics ของ DSB ในเดือนมกราคม 2022 วางรากฐานสำหรับคดีการถ่ายโอนข้อมูลทั้งหมด
มีการค้นพบสำคัญสามประการ:
- ที่อยู่ IP ถือเป็นข้อมูลส่วนบุคคล แม้แต่ IP ที่ย่อแล้วยังสามารถระบุตัวตนซ้ำได้ภายในระบบของ Google ข้อมูลเซสชันยิ่งทำให้สิ่งนี้แย่ลงไปอีก
- การเข้าถึงของผู้ขายในสหรัฐฯ ถือเป็นการถ่ายโอนข้อมูล เมื่อวิศวกรสหรัฐฯ สามารถเข้าถึงบันทึกผู้ใช้ EU ได้ การเข้าถึงนั้นถือเป็นการถ่ายโอนตาม GDPR ซึ่งครอบคลุมทั้งการสนับสนุน การบำรุงรักษา และคำสั่งทางกฎหมาย
- SCC โดยไม่มี TIA ไม่เพียงพอ Standard Contractual Clauses ต้องการ Transfer Impact Assessment TIA ต้องแสดงว่ากฎหมายสอดแนมของสหรัฐฯ ไม่ยกเลิกการคุ้มครองที่ SCC มอบไว้
DSB พบว่าผู้ดำเนินการเว็บไซต์ออสเตรียมีความรับผิดชอบ ไม่ใช่ Google ผู้ดำเนินการคือผู้ควบคุมข้อมูล กฎนี้ใช้กับธุรกิจ EU ทุกแห่งที่ฝังสคริปต์บุคคลที่สาม ดู คู่มือการปฏิบัติตาม GDPR สำหรับหน้าที่ของผู้ควบคุมข้อมูล
มาตรการทางเทคนิคเพิ่มเติม
หลัง Schrems II คณะกรรมการ EDPB เผยแพร่แนวทางมาตรการทางเทคนิคเพิ่มเติม ใช้บังคับเมื่อ SCC เพียงอย่างเดียวไม่เพียงพอ DSB บังคับใช้แนวทางนี้
สามวิธีการที่ผ่านการตรวจสอบของ DSB:
การเข้ารหัสด้วยคีย์ที่เก็บในยุโรป เข้ารหัสบันทึกก่อนส่งออกนอก EU เก็บคีย์ถอดรหัสไว้ในมือของฝ่าย EU หากหน่วยงานสหรัฐฯ บังคับให้ผู้ขายส่งมอบไฟล์ พวกเขาจะได้รับเพียงข้อความเข้ารหัสที่อ่านไม่ออก
การสร้างนามแฝงก่อนถ่ายโอน ส่งเฉพาะโทเค็นนามแฝงข้ามพรมแดน เก็บคีย์การระบุตัวตนซ้ำไว้ใน EU ไฟล์ที่ถ่ายโอนไม่มีข้อมูลส่วนบุคคลโดยตรง
การประมวลผลในพื้นที่ ประมวลผลทั้งหมดบนเซิร์ฟเวอร์ที่ตั้งอยู่ใน EU ถ่ายโอนเฉพาะสถิติรวมที่ไม่ระบุตัวตนอย่างแท้จริง ไม่มีบันทึกส่วนบุคคลข้ามพรมแดน
DSB ยืนยันจุดยืนนี้แล้ว กลุ่มที่ใช้ผู้ขาย SaaS ในสหรัฐฯ สำหรับข้อมูลส่วนบุคคลของ EU ต้องใช้อย่างน้อยหนึ่งวิธีเหล่านี้ หรือต้องพิสูจน์ว่าเนื้อหาที่ถ่ายโอนนั้นไม่ระบุตัวตนอย่างแท้จริง
ความเสี่ยงของ Schrems III
บริษัทที่พึ่งพาแค่ DPF เผชิญความเสี่ยงที่ชัดเจน หากการท้าทาย CJEU ของ NOYB สำเร็จ บริษัทเหล่านั้นต้องหาเครื่องมือถ่ายโอนใหม่อย่างเร่งด่วน นั่นคือสิ่งที่เกิดขึ้นแล้วในปี 2015 และ 2020
กลุ่มที่ใช้มาตรการทางเทคนิคเพิ่มเติมมีความคุ้มกัน หากเนื้อหาไม่ระบุตัวตนอย่างแท้จริง ก็ไม่มีการถ่ายโอน GDPR เกิดขึ้น การล่มสลายของ DPF ไม่มีผลกระทบต่อพวกเขา
สำหรับการดำเนินการในออสเตรีย: เครื่องมือวิเคราะห์ (Google Analytics, Mixpanel, Amplitude) ล้วนก่อให้เกิดความเสี่ยงต่อ DSB ระบบ CRM ที่มีบริษัทแม่ในสหรัฐฯ (Salesforce, HubSpot) ก็เช่นกัน แพลตฟอร์มคลาวด์ที่เจ้าหน้าที่สหรัฐฯ มีสิทธิ์เข้าถึงระดับผู้ดูแลระบบมีความเสี่ยงเดียวกัน
ทางแก้ไขเหมือนกันในทุกกรณี ตรวจสอบให้แน่ใจว่าบันทึกส่วนบุคคลไม่ระบุตัวตนอย่างแท้จริงก่อนถึงผู้ขาย หรือเข้ารหัสด้วยคีย์ที่ผู้ควบคุม EU ถือครองแต่เพียงผู้เดียว ภาพรวมความปลอดภัยและการปฏิบัติตามกฎระเบียบ ของเราอธิบายว่าการออกแบบ zero-knowledge ขจัดปัญหาการถ่ายโอนข้อมูลที่ต้นตอได้อย่างไร