ڈچ AP اور Uber جرمانہ
اگست 2024 میں ڈچ AP نے Uber پر €290 ملین جرمانہ عائد کیا۔ Uber نے EU driver ڈیٹا کو کسی قانونی بنیاد کے بغیر US سرورز پر بھیجا۔ اس ڈیٹا میں ٹیکسی لائسنس، criminal جانچ، طبی ریکارڈز اور سفری لاگز شامل تھے۔
Uber نے جولائی 2020 میں Schrems II کے EU-US Privacy Shield کو ختم کرنے کے بعد یہ منتقلی جاری رکھی۔ یہ دو سال تک چلتا رہا۔ Standard Contractual Clauses نہیں تھے۔ آرٹیکل 46 کا کوئی ٹول نہیں تھا۔
یہ جرمانہ ڈیٹا منتقلی کی خلاف ورزی کے لیے EU کا سب سے بڑا جرمانہ ہے۔ یہ تمام GDPR جرمانوں میں تیسرے نمبر پر ہے۔
ہماری GDPR تعمیل رہنما دیکھیں۔
AP کی نفاذ ترجیحات
ڈچ AP کو 2023 میں 21,400 سے زیادہ شکایات موصول ہوئیں۔ یہ تین شعبوں پر توجہ دیتا ہے۔
ترجیح 1 — ملازمین کی نگرانی (43% کیسز): نیدرلینڈ کی بہت سی فرموں کو اپنے عملے کی نگرانی پر AP جرمانوں کا سامنا کرنا پڑا ہے۔ چھپے ہوئے کیمرے، bulk ای میل جانچ اور بغیر نوٹس GPS ٹریکنگ سب کارروائی کو متحرک کرتے ہیں۔
ترجیح 2 — سرحد پار منتقلی (31% کیسز): Uber جرمانے اور آئرلینڈ کے DPC کے ساتھ Cloudflare پر مشترکہ تحقیق کے بعد، AP نے منتقلی کی نگرانی بڑھا دی ہے۔ امسٹرڈیم کا ٹیک سیکٹر یہاں اعلیٰ خطرے میں ہے۔
ترجیح 3 — مارکیٹنگ اور profiling (26% کیسز): اس میں cookie consent، اشتہار targeting اور براہ راست مارکیٹنگ شامل ہے۔ AP "legitimate interest" کے بارے میں سخت نقطہ نظر رکھتا ہے۔
Uber کے بعد منتقلی کے قوانین
Transfer Impact Assessments (TIAs): EDPB کسی تیسرے ملک میں ہر منتقلی کے لیے TIA مانگتا ہے۔ TIA کو ظاہر کرنا ہوگا کہ منزل EU قانون کے برابر تحفظ دیتی ہے۔ AP کہتا ہے TIA کو چار سوالوں کے جوابات دینے ہوں گے:
- منزل کے ملک میں رسائی کے قوانین کیا ہیں؟
- جاسوسی ایجنسیاں کتنی دور تک پہنچ سکتی ہیں؟
- ڈیٹا importer کو حکومتی درخواستوں کا ریکارڈ کیا ہے؟
- ڈیٹا subjects کیا قانونی علاج استعمال کر سکتے ہیں؟
Standard Contractual Clauses — اکیلے کافی نہیں: SCCs اکیلے آرٹیکل 46 کو پورا نہیں کرتے۔ اگر TIA حکومتی رسائی کا خطرہ ظاہر کرے تو اضافی حفاظتی اقدامات درکار ہیں۔
AP کی قبول کردہ اضافی تکنیکی اقدامات:
- خفیہ کاری جہاں importer کے پاس decryption keys تک رسائی نہ ہو
- منتقلی سے پہلے براہ راست IDs ہٹانا
- منتقلی سے پہلے ڈیٹا میں کمی
آف لائن Desktop App تمام کام آپ کے آلے پر چلاتا ہے۔ یہ کچھ بھی باہر نہیں بھیجتا۔ اس سے اس سرگرمی کے لیے منتقلی کا مسئلہ ختم ہو جاتا ہے۔ ہماری سیکیورٹی اور تعمیل کا جائزہ دیکھیں۔
ملازمین کا ڈیٹا اور ڈچ لیبر قانون
عملے کی نگرانی پر AP کی 43% توجہ ظاہر کرتی ہے کہ GDPR اور ڈچ لیبر قانون کس طرح ایک دوسرے سے ملتے ہیں۔
نیدرلینڈز میں مقیم تنظیموں کے لیے تین قوانین لاگو ہوتے ہیں:
Works council کی منظوری: کوئی بھی کمپنی جس کے پاس works council ہو کسی بھی نگرانی ٹول کو نافذ کرنے سے پہلے اس کی منظوری لینی ہوگی۔
مقصد کے لیے موزوں: نگرانی اپنے بیان کردہ مقصد سے مطابقت رکھنی چاہیے۔ خفیہ نگرانی کی اجازت نہیں ہے۔
مقصد کی حد: ایک مقصد کے لیے جمع کیا گیا HR ڈیٹا دوسرے مقصد کے لیے استعمال نہیں کیا جا سکتا۔
نیدرلینڈز PII Detection
نیدرلینڈز میں PII ٹولز کو مقامی ID فارمیٹس سنبھالنے ہوں گے:
- BSN (Burger Service Nummer): 9 ہندسوں کا ڈچ قومی ID — checksum validation درکار ہے
- IBAN (NL prefix): ڈچ IBAN اپنی validation منطق کے ساتھ
- Postal code (postcode): فارمیٹ 4 ہندسے + space + 2 حروف
- DigiD: حکومتی ڈیجیٹل identity کوڈ
- Healthcare نمبر: مریض ریکارڈز کے لیے BGZ اور EP فارمیٹس
ایک generic ٹول IBAN تو پکڑ سکتا ہے لیکن BSN checksum یا postcode فارمیٹ کو نظرانداز کر سکتا ہے۔
نیدرلینڈز تنظیموں کے لیے اقدامات
1. منتقلی کا آڈٹ: تیسرے ممالک کو تمام ڈیٹا بہاؤ کی فہرست بنائیں۔ موجودہ SCCs کا جائزہ لیں۔ اہم بہاؤ کے لیے TIAs چلائیں۔
2. ملازمین کی نگرانی کا جائزہ: تمام نگرانی ٹولز، بشمول AI، کی فہرست بنائیں۔ works council کی منظوری کے ریکارڈز جانچیں۔
3. PII کوریج جانچ: اپنے PII ٹولز میں BSN، postcode اور IBAN detection جانچیں۔
anonym.legal EU میں مقیم Hetzner data centers استعمال کرتا ہے جن میں zero-knowledge ڈیزائن ہے۔ سرور آپ کا plain-text مواد کبھی نہیں دیکھتا۔ مقامی پروسیسنگ کی ضرورت ہے؟ Desktop App مکمل طور پر آپ کے آلے پر چلتا ہے۔