Nagmulta ang Autoriteit Persoonsgegevens (AP) sa Uber ng €290 milyon noong Agosto 2024. Ang multa ay para sa pagpapadala ng datos ng mga driver sa mga server sa US nang walang wastong kasunduan sa paglipat. Walang kaso ng GDPR ang nagbunga ng mas malaking multa para sa cross-border na paglipat. Hinawakan din ng AP ang mahigit 21,400 na reklamo noong 2023. Ginagawa itong isa sa mga pinaka-abalang regulador ng datos sa Europa.
Ano ang Natuklasan ng AP sa Kaso ng Uber
Nangalap ang Uber ng datos mula sa mga driver sa Netherlands at France. Ang datos ay sumasaklaw sa kasaysayan ng lokasyon, mga dokumento ng pagkakakilanlan, mga tala ng sahod, mga tala ng pagmamaneho, at mga file ng buwis. Lahat nito ay inilipat sa mga server sa US. Ibinunyag ng AP na ang paraan ng paglipat ay hindi wasto.
Tatlong natuklasan ang nagpasya sa desisyon:
- Mahinang paraan ng paglipat: Gumamit ang Uber ng Binding Corporate Rules (BCRs). Natuklasan ng AP na hindi nito nasasaklaw ang saklaw o sensitivity ng datos ng driver na kasangkot.
- Walang Transfer Impact Assessment (TIA): Hindi ipinakita ng Uber na iniwan ng batas ng US ang mga napagkasunduang proteksyon sa paglipat.
- Sensitibong datos sa kombinasyon: Ang datos ng lokasyon, sahod, at mga marka ng pagganap ay magkasamang nagbibigay ng detalyadong larawan ng bawat driver. Itinuring ng AP ang pinagsamang ito bilang katumbas ng sensitibong personal na datos.
Ang kaso ng Uber ay nagtakda ng malinaw na panuntunan. Ang datos ng mga kawani at kontratista na ipinadala sa US ay nangangailangan ng parehong TIA at karagdagang mga hakbang tulad ng datos ng konsumer.
Mga Lugar ng Pokus sa Pagpapatupad ng AP para sa 2025
Na-update para sa 2026
Tinukoy ng AP ang tatlong lugar na malapit nitong sinisigi sa 2025.
Pagmamanman ng kawani: Ang mga tool sa pagsubaybay ng trabahong-sa-bahay ay ang pangunahing target. Kasama dito ang mga log ng produktibidad, pagkuha ng screen, pagsubaybay ng keystroke, at mga tool ng remote na lokasyon. Bago mag-deploy ng gayong tool, dapat itala ng mga kumpanya kung bakit tinanggihan nila ang mga pagpipiliang hindi gaanong nakakagambala.
Mga cross-border na paglipat ng datos: Pagkatapos ng hatol sa Uber, sinusuri ng AP ang mga paraan ng paglipat. Ang mga kumpanyang umaasa sa mga serbisyo ng US, Asya, o iba pang bansang hindi sapat ay nasa saklaw. Anumang kumpanyang gumagamit ng mga software tool ng US para sa HR, trabaho ng proyekto, o datos ng customer ay dapat may kasalukuyang TIA sa file.
Mga automated na desisyon: Ang AI credit scoring, mga filter sa pagkuha, at mga sistema ng pagganap ay nagtatrigger ng mga tungkulin sa Article 22. Tina-target ng AP ang mga organisasyong gumagawa ng mga automated na desisyon nang walang tunay na hakbang ng pagsusuri ng tao. Ang mga manggagawa at mga konsumer ay dapat parehong masaklaw.
Ang BSN: Isang Protektadong Pambansang Pagkakakilanlan
Ang Burgerservicenummer (BSN) ay isang 9-digit na numero ng ID na ginagamit sa Netherlands. Bine-validate ito gamit ang Elfproef (eleven-proof) na tseke. Upang patakbuhin ang tseke: i-multiply ang bawat digit ng timbang mula 9 pababa sa −1, idagdag ang mga resulta, at ang kabuuan ay dapat na mahatian nang pantay sa 11.
Ang BSN Act (Wet algemene bepalingen burgerservicenummer) ay nililimitahan ang paggamit ng BSN sa mga tiyak na legal na konteksto. Ang mga ito ay: buwis, pangangalagang pangkalusugan, gobyerno, at payroll ng employer. Ang paggamit ng BSN sa labas ng mga kontekstong iyon ay nagtatrigger ng pagpapatupad ng BSN Act. Nalalapat ang pananagutang GDPR sa itaas nito.
Bakit nakaligtaan ng mga generic na tool ang mga BSN: Maraming NLP tool ang hindi kasama ang tseke ng Elfproef. Nang wala ito, anumang 9-digit na string ay nila-flag bilang posibleng BSN. Lumilikha ito ng mga maling alarma sa mga dokumento ng pananalapi at pamamahala. Ang mga maling na-type na BSN ay nakalilikha rin ng pagkabigo. Nabibigo sila sa tseke ngunit mukhang may wastong pattern pa rin. Tingnan ang aming gabay sa EU national tax ID at PII detection para sa kumpletong paghahambing sa lahat ng format ng European ID.
NER para sa Dutch na Teksto
Ang Dutch (Nederlands) ay may mga katangian na nagpapalipas sa mga modelong sinanay sa Ingles.
Mga compound na salita: Pinagsasama ng Dutch ang mga salita. Ang Persoonsgegevens (personal na datos) at Burgerservicenummer (numero ng ID ng mamamayan) ay bawat isa ay isang solong salita. Ang mga modelong itinayo para sa Ingles ay madalas na pinuputol ang mga ito sa maling punto. Sinisira nito ang pag-detect ng entity.
Mga ending ng pangalan: Ang mga suffix na -je at -tje ay lumalabas sa mga unang pangalan — Annetje, Hansje. Ang mga modelo ng pangalan ay kailangang pangasiwaan ang parehong base na anyo at ang maikling anyo.
Mga format ng address: Kasama sa mga uri ng kalye ang Straat, Laan, Weg, Plein, at Gracht. Gumagamit ang mga postal code ng apat na digit kasama ang dalawang titik (halimbawa: 1234 AB). Ang bawat code ay nagmamapa sa isang kalye, kaya mas marami itong inihahayag kaysa sa karamihan ng mga postal code sa Europa.
Format ng IBAN: Ang mga Dutch IBAN ay 18 karakter: NL + 2 check digit + 4-letter na code ng bangko + 10-digit na numero ng account. Ang bansa ay may mataas na paggamit ng card payment. Bilang resulta, maraming IBAN ang laman ng mga dokumentong pampinansyal. Para sa mga paraan ng confidence-scoring sa lahat ng uri ng ID, tingnan ang binary PII detection at confidence scoring.
Technical na Checklist para sa Pagsunod sa AP
Upang matugunan ang mga kasalukuyang pamantayan ng AP, ang mga sistema ng datos ay nangangailangan ng:
- BSN detection na may Elfproef — ang pattern matching lamang ay hindi sapat
- Dutch-language NER — ang modelong tulad ng spaCy
nl_core_newsay humahawak ng mga compound at maikling pangalan - IBAN detection — format-aware, hindi generic
- Mga tala ng subprocessor para sa lahat ng cross-border na paglipat
- Mga TIA para sa mga vendor ng US — isang live na priyoridad ng pag-audit ng AP pagkatapos ng hatol sa Uber
Post-Uber, ang TIA para sa mga vendor ng US ay isang baseline na kinakailangan, hindi isang pinakamahusay na kasanayan. Para sa kumpletong breakdown ng hatol at mga implikasyon nito sa paglipat, tingnan ang AP Uber fine at cross-border transfer enforcement.