Чому Ірландія очолює правозастосування в ЄС
Ірландська Комісія із захисту даних (DPC) є головним органом для більшості великих технологічних компаній ЄС. Це не випадковість.
Низька податкова ставка Ірландії залучила Apple, Google, Meta, LinkedIn та TikTok. Усі вони відкрили там свої головні офіси в ЄС.
Стаття 60 GDPR робить DPC головним органом для цих компаній. З цього правила випливають три наслідки.
По-перше, скарга з Німеччини на Facebook надходить до ірландської DPC, а не до німецького BfDI. По-друге, DPC співпрацює з іншими органами ЄС у транскордонних справах. По-третє, рішення DPC проти Meta застосовується в усьому ЄС.
Результат очевидний. DPC видала більший обсяг штрафів, ніж усі інші органи ЄС разом узяті. Дивіться наш огляд відповідності GDPR про те, як це впливає на вибір вендора.
Три штрафи, що визначають 2024–2025 рр.
€530 млн проти TikTok (травень 2025 р.): Китайські інженери отримували доступ до даних користувачів ЄС. Це порушило Статті 44–46 GDPR. Ці статті обмежують передачі до країн без рішення ЄС про адекватність. Китай такого рішення не має. TikTok стверджував, що мав належний контроль. DPC вирішила, що ні.
€310 млн проти LinkedIn (жовтень 2024 р.): LinkedIn спирався на «законний інтерес» для аналізу поведінки. DPC визнала це недійсним. Обробка не була необхідною для заявленої мети. Тест на балансування не був пройдений на користь LinkedIn.
€251 млн проти Meta (листопад 2024 р.): Про витік даних Facebook 2018 року не було вчасно повідомлено DPC. DPC також виявила, що неякісні журнали аудиту унеможливили вимірювання масштабів розкритих даних.
Ці три справи доповнили раніший штраф Meta на €1,2 млрд у травні 2023 року. Той штраф теж видала DPC — за незаконні передачі даних ЄС-США. Він залишається найбільшим штрафом GDPR в історії.
У 2024 році DPC розглянула понад 8 500 транскордонних справ. Перегляньте нашу сторінку безпеки та відповідності, щоб побачити, як дизайн нульових знань вирішує кожне порушення.
Що розкриває кожен штраф
Порушення транскордонного доступу
Усі три штрафи мають одну спільну основну проблему. Персональні дані були відкриті для персоналу в країнах без правил конфіденційності на рівні ЄС.
Штраф TikTok був прямолінійним. Файли користувачів ЄС потрапляли до китайських інженерів попри задекларований контроль.
Що це означає для вибору вендора: Запитайте, чи можуть інженери з-за меж ЄС отримувати доступ до даних користувачів ЄС у повсякденній роботі. Вендор може розміщувати сервери в Дубліні, але все одно відкривати файли ЄС через американських співробітників служби підтримки. Розміщення в ЄС само по собі недостатньо. Наш посібник з обробки сутностей показує, як засоби контролю доступу відповідають Статті 46 GDPR.
Порушення законної підстави
Штраф LinkedIn стосувався не витоку. Він стосувався того, як LinkedIn обґрунтовував свою обробку.
«Законний інтерес» — не універсальне право. Контролери повинні документувати справжній тест на балансування. Цей тест повинен показати, що їхній інтерес переважає права користувача. Наша сторінка відповідності охоплює, як перевіряти заяви вендора щодо законної підстави.
Порушення ведення журналів та повідомлення
Штраф Meta на €251 млн містив ключове рішення. Неякісні журнали аудиту унеможливили вимірювання масштабів витоку.
Стаття 33 GDPR вимагає повідомлення про витік протягом 72 годин. У повідомленні має бути зазначено масштаб розкритих даних. Ви не можете повідомляти про масштаб, який не можете виміряти.
Запитайте потенційних вендорів про структуру їхніх журналів аудиту. Якщо вендор не може відповісти «які записи були розкриті?» після інциденту, він не відповідає вимогам Статті 33(3)(b).
Закономірність у справах DPC
Читаючи всі чотири великі штрафи DPC, виявляється одна закономірність. Регулятори діють проти проектів, де інженери вендора можуть бачити вміст користувачів. Кожен великий штраф стосувався погано контрольованого доступу до персональних даних.
Дизайн нульових знань вирішує основне занепокоєння в кожній справі. Вміст користувача зашифровано. Вендор не має ключів дешифрування.
Для справ TikTok та Meta про передачі дані не-ЄС-інженери можуть отримати доступ до сервера, але бачать лише шифротекст. Читабельні записи не розкриваються. Для справи Meta про витік повний злом сервера не дає нічого корисного. Масштаб витоку зменшується. Для LinkedIn вендор, що ніколи не бачить тексту у відкритому вигляді, не може виконувати на ньому аналіз поведінки.
Це є прямою відповіддю на кожну дію DPC. Дивіться наш огляд безпеки для деталей або наше слово засновника про те, чому anonym.legal з першого дня побудований саме так.
Що означає «головне місце діяльності»
Деякі компанії структурують свою присутність в ЄС для контролю над тим, який DPA має юрисдикцію. Позиція DPC у цьому питанні має значення.
«Головне місце діяльності» — це не просто адреса компанії. Це місце, де знаходиться центральне управління ЄС. Для контролерів — це місце, де приймаються рішення щодо цілей обробки.
Компанія з командою з питань конфіденційності в Лондоні може не мати головного місця діяльності в ЄС. Тоді кожен орган захисту даних держави-члена може заявити свої повноваження щодо місцевих скарг.
Питання для перевірки вендора
Використовуйте ці питання при оцінці SaaS-вендорів, що обробляють персональні дані.
Юрисдикція та доступ:
- Де знаходиться головне місце діяльності вендора в ЄС?
- Чи можуть не-ЄС-інженери отримувати доступ до даних користувачів ЄС у звичайній роботі?
- Чи підпадає материнська компанія вендора під дію CLOUD Act або закони Китаю з безпеки?
Технічний дизайн:
- Чи залишається вміст користувачів ЄС на серверах у ЄС?
- Чи тримає вендор ключі шифрування, чи їх тримає клієнт?
- Чи є журнали аудиту достатньо детальними для вимірювання масштабів витоку?
Документи про передачі:
- Який механізм Статті 46 GDPR охоплює будь-які потоки ЄС-США?
- Чи проводив вендор оцінку впливу передачі?
- Які додаткові технічні заходи діють?
Правозастосування DPC послідовне в одному питанні. Навіть компанії з командами з питань конфіденційності та DPO стикаються з великими штрафами, коли їхній технічний дизайн не відповідає їхнім заявам. Дивіться наші кейси та FAQ для отримання додаткової інформації.
anonym.legal використовує сервери Hetzner у ЄС із дизайном нульових знань. Сервери зберігають лише шифротекст AES-256-GCM. Повний витік не розкриває жодних читабельних записів. Застосунок для робочого столу обробляє весь вміст на пристрої без зовнішніх підключень.
Джерела
- Ірландська DPC — Офіційні рішення про правозастосування — VERIFIED-EXTERNAL
- EDPB — Механізм єдиного вікна — VERIFIED-EXTERNAL
- Текст GDPR — Статті 33, 44–46, 60 — VERIFIED