Нідерландський AP та штраф Uber
У серпні 2024 року нідерландський AP оштрафував Uber на €290 мільйонів. Uber передавав дані водіїв ЄС на американські сервери без будь-якої правової підстави. Ці дані включали ліцензії таксиста, перевірки кримінального минулого, медичні записи та журнали поїздок.
Uber передавав дані після того, як Schrems II скасував угоду ЄС-США Privacy Shield у липні 2020 року. Передачі тривали ще два роки. Без Стандартних договірних положень. Без жодного інструменту Статті 46.
Цей штраф є найбільшим в ЄС за порушення передачі даних. Він посідає третє місце серед усіх штрафів GDPR в історії. Порушення передачі тепер несуть величезні витрати. Не лише витоки.
Дивіться наш посібник із відповідності GDPR для швидкого огляду.
Пріоритетні напрями правозастосування AP
У 2023 році нідерландський AP отримав понад 21 400 скарг. Він зосереджується на трьох напрямках.
Пріоритет 1 — Моніторинг працівників (43% справ): Багато нідерландських компаній були оштрафовані AP за стеженням за своїм персоналом. Приховані камери, масова перевірка електронної пошти та GPS-відстеження без повідомлення — все це провокує дії. Нідерландське трудове законодавство додає додаткові правила на додаток до GDPR.
Пріоритет 2 — Транскордонні передачі (31% справ): Після штрафу Uber та спільної перевірки з ірландською DPC стосовно Cloudflare (2023 р.) AP посилив нагляд за передачами. Технологічний сектор Амстердама має підвищений ризик. Хмарні компанії, фінтех та стартапи, що швидко розвиваються, — усі в полі зору.
Пріоритет 3 — Маркетинг та профілювання (26% справ): Це охоплює згоду на cookies, рекламний таргетинг та пряму розсилку. AP займає суворішу позицію щодо «законного інтересу». Він вимагає письмових тестів із чіткими доказами.
Правила передачі після справи Uber
Оцінки впливу передачі (TIA): EDPB вимагає TIA для кожної передачі до третьої країни. TIA повинна демонструвати, що країна призначення забезпечує захист, рівноцінний законодавству ЄС. AP стверджує, що TIA повинна відповісти на чотири питання:
-
Які закони про доступ діють у країні призначення?
-
Наскільки широкими є повноваження спецслужб?
-
Якою є статистика запитів уряду до імпортера даних?
-
Якими правовими засобами захисту можуть скористатися суб'єкти даних?
Стандартні договірні положення — самі по собі недостатні: SCC самі по собі не відповідають вимогам Статті 46. Якщо TIA виявляє ризик урядового доступу, необхідні додаткові гарантії.
Додаткові технічні заходи, що AP визнає прийнятними:
- Шифрування без доступу імпортера до ключів дешифрування
- Вилучення прямих ідентифікаторів перед передачею, щоб імпортер не міг пов'язати дані з особою
- Скорочення даних перед передачею, зменшення полів, непотрібних імпортеру
Офлайн-застосунок для робочого столу виконує всю обробку на вашому пристрої. Він не надсилає даних назовні. Це усуває проблему передачі для цього виду діяльності. Дивіться наш огляд безпеки та відповідності.
Дані працівників та нідерландське трудове право
Зосередженість AP на 43% справ щодо моніторингу персоналу демонструє, як GDPR та нідерландське трудове право перетинаються.
Для організацій у Нідерландах діють три правила:
Схвалення виробничої ради: Компанія з виробничою радою повинна отримати її схвалення перед запровадженням будь-якого інструменту моніторингу. Це стосується інструментів ШІ, перевірки електронної пошти та систем контролю відвідуваності.
Відповідність меті: Моніторинг повинен відповідати заявленій меті. Прихований моніторинг не допускається. Відкритий моніторинг повинен бути найменш інтрузивним варіантом.
Обмеження мети: Дані HR, зібрані для однієї мети, не можуть бути використані для іншої. Потрібна нова правова підстава.
Ці правила вимагають трьох документів: схвалення ради, перевірки мети та засобів контролю. Наш контрольний список відповідності охоплює всі три.
Виявлення PII в Нідерландах
Інструменти PII в Нідерландах повинні обробляти локальні формати ідентифікаторів. Стандартні глобальні інструменти часто їх пропускають:
- BSN (Burger Service Nummer): 9-значний нідерландський національний ідентифікатор — потребує перевірки контрольної суми
- IBAN (префікс NL): Нідерландський IBAN зі своєю власною логікою перевірки
- Поштовий індекс (postcode): Формат — 4 цифри + пробіл + 2 літери
- DigiD: Цифровий код ідентифікації уряду
- Медичні номери: Формати BGZ та EP для медичних записів
Генеричний інструмент може виявити IBAN, але пропустити контрольну суму BSN або формат поштового індексу. Перевірте виявлення BSN перед обробкою даних національних ідентифікаторів. Не припускайте покриття.
Кроки для нідерландських організацій
1. Аудит передач: Перечисліть усі потоки даних до третіх країн. Перегляньте наявні SCC. Проведіть TIA для ключових потоків. Задокументуйте додаткові технічні заходи там, де TIA виявляє ризик.
2. Перевірка моніторингу персоналу: Перечисліть усі інструменти моніторингу, включаючи ШІ. Перевірте наявність документів про схвалення виробничої ради. Підтвердьте наявність письмових перевірок мети.
3. Перевірка покриття PII: Перевірте виявлення BSN, поштового індексу та IBAN у ваших інструментах PII. Перевірте точність на нідерландськомовних документах.
4. Ризики технологічного сектора: Стартапи повинні документувати рішення, що зменшують ризик передачі — хмарні варіанти у регіоні ЄС та варіанти локальної обробки. Хмарні провайдери з налаштуваннями ЄС-США повинні документувати свої інструменти передачі та підхід до TIA.
anonym.legal використовує центри обробки даних Hetzner у ЄС із дизайном нульових знань. Сервер ніколи не бачить вашого тексту у відкритому вигляді. Повний злом сервера дає лише шифротекст AES-256-GCM. Потрібна обробка лише на локальному рівні? Застосунок для робочого столу працює повністю на вашому пристрої без зовнішніх підключень.
Джерела
- Нідерландський AP: офіційний сайт Autoriteit Persoonsgegevens — VERIFIED-EXTERNAL
- Нідерландський AP: рішення про правозастосування щодо Uber (серпень 2024 р.) — VERIFIED-EXTERNAL
- EDPB: Рекомендації 01/2020 щодо додаткових заходів — VERIFIED-EXTERNAL