Autoriteit Persoonsgegevens (AP) đã phạt Uber €290 triệu vào tháng 8 năm 2024. Khoản phạt này là do gửi dữ liệu tài xế đến máy chủ Mỹ mà không có thỏa thuận chuyển dữ liệu hợp lệ. Chưa có vụ nào theo GDPR tạo ra khoản phạt lớn hơn cho chuyển dữ liệu xuyên biên giới. AP cũng xử lý hơn 21.400 đơn khiếu nại trong năm 2023. Điều đó khiến cơ quan này trở thành một trong những cơ quan quản lý dữ liệu bận rộn nhất châu Âu.
AP Đã Phát Hiện Gì Trong Vụ Uber
Uber thu thập dữ liệu từ các tài xế ở Hà Lan và Pháp. Dữ liệu bao gồm lịch sử vị trí, giấy tờ tùy thân, hồ sơ lương, hồ sơ lái xe và hồ sơ thuế. Tất cả đều được chuyển đến máy chủ Mỹ. AP kết luận phương thức chuyển dữ liệu là không hợp lệ.
Ba phát hiện dẫn đến quyết định này:
- Phương thức chuyển dữ liệu yếu: Uber sử dụng Binding Corporate Rules (BCRs). AP kết luận rằng BCRs không bao phủ phạm vi hay mức độ nhạy cảm của dữ liệu tài xế liên quan.
- Không có Đánh giá Tác động Chuyển dữ liệu (TIA): Uber không chứng minh được rằng luật Mỹ vẫn duy trì các biện pháp bảo vệ chuyển dữ liệu đã thỏa thuận.
- Dữ liệu nhạy cảm theo tổ hợp: Dữ liệu vị trí, lương thưởng và điểm hiệu suất cộng lại tạo ra bức tranh chi tiết về từng tài xế. AP coi tổ hợp này tương đương với dữ liệu cá nhân nhạy cảm.
Vụ Uber đặt ra một quy tắc rõ ràng. Dữ liệu nhân viên và nhà thầu gửi đến Mỹ cần TIA và các biện pháp bổ sung tương tự như dữ liệu người tiêu dùng.
Các Lĩnh Vực Thực Thi Trọng Tâm của AP Năm 2025
Cập nhật cho năm 2026
AP đã xác định ba lĩnh vực đang theo dõi chặt chẽ trong năm 2025.
Giám sát nhân viên: Công cụ theo dõi làm việc từ xa là mục tiêu hàng đầu. Điều này bao gồm nhật ký năng suất, chụp màn hình, theo dõi phím gõ và công cụ định vị từ xa. Trước khi triển khai bất kỳ công cụ nào như vậy, các công ty phải ghi lại lý do tại sao họ loại bỏ các tùy chọn ít xâm phạm hơn.
Chuyển dữ liệu xuyên biên giới: Sau phán quyết Uber, AP đang kiểm tra các phương thức chuyển dữ liệu. Các công ty phụ thuộc vào dịch vụ từ Mỹ, châu Á hay các quốc gia không được công nhận đầy đủ đều nằm trong phạm vi. Bất kỳ công ty nào sử dụng công cụ phần mềm Mỹ cho HR, quản lý dự án hoặc dữ liệu khách hàng phải có TIA hiện hành trong hồ sơ.
Quyết định tự động: Hệ thống chấm điểm tín dụng AI, bộ lọc tuyển dụng và hệ thống đánh giá hiệu suất kích hoạt các nghĩa vụ theo Điều 22. AP nhắm vào các tổ chức đưa ra quyết định tự động mà không có bước xem xét thực sự của con người. Cả người lao động lẫn người tiêu dùng đều phải được bảo vệ.
BSN: Mã Số Định Danh Quốc Gia Được Bảo Vệ
Burgerservicenummer (BSN) là số định danh 9 chữ số được sử dụng tại Hà Lan. Nó được xác thực bằng kiểm tra Elfproef (kiểm tra số mười một). Để thực hiện kiểm tra: nhân từng chữ số với trọng số từ 9 xuống −1, cộng các kết quả lại, và tổng phải chia hết cho 11.
Luật BSN (Wet algemene bepalingen burgerservicenummer) giới hạn việc sử dụng BSN vào các bối cảnh pháp lý cụ thể. Đó là: thuế, chăm sóc sức khỏe, chính phủ và bảng lương nhà tuyển dụng. Sử dụng BSN ngoài các bối cảnh đó kéo theo thực thi Luật BSN. Trách nhiệm GDPR áp dụng thêm vào đó.
Tại sao các công cụ thông thường bỏ sót BSN: Nhiều công cụ NLP không có kiểm tra Elfproef. Không có nó, bất kỳ chuỗi 9 chữ số nào đều bị cắm cờ như BSN có thể. Điều đó tạo ra cảnh báo nhầm trong tài liệu tài chính và hành chính. BSN bị gõ nhầm cũng bị bỏ sót. Chúng thất bại kiểm tra nhưng vẫn trông giống mẫu hợp lệ. Xem hướng dẫn của chúng tôi về phát hiện mã số thuế quốc gia EU và PII để so sánh đầy đủ giữa các định dạng ID châu Âu.
NER cho Văn bản Tiếng Hà Lan
Tiếng Hà Lan (Nederlands) có những đặc điểm gây khó khăn cho các mô hình được huấn luyện bằng tiếng Anh.
Từ ghép: Tiếng Hà Lan nối các từ lại với nhau. Persoonsgegevens (dữ liệu cá nhân) và Burgerservicenummer (số định danh công dân) mỗi cái là một từ duy nhất. Các mô hình xây dựng cho tiếng Anh thường tách chúng sai vị trí. Điều đó phá vỡ việc phát hiện thực thể.
Hậu tố tên: Các hậu tố -je và -tje xuất hiện trong tên riêng — Annetje, Hansje. Các mô hình tên cần xử lý cả dạng gốc và dạng rút gọn.
Định dạng địa chỉ: Loại đường phố bao gồm Straat, Laan, Weg, Plein và Gracht. Mã bưu chính sử dụng bốn chữ số cộng hai chữ cái (ví dụ: 1234 AB). Mỗi mã ánh xạ đến một con đường duy nhất, vì vậy nó tiết lộ nhiều hơn hầu hết mã bưu chính châu Âu.
Định dạng IBAN: IBAN Hà Lan gồm 18 ký tự: NL + 2 chữ số kiểm tra + mã ngân hàng 4 chữ cái + số tài khoản 10 chữ số. Quốc gia này sử dụng thanh toán thẻ nhiều. Do đó, tài liệu tài chính chứa nhiều IBAN. Để biết phương pháp chấm điểm độ tin cậy trên các loại ID, xem phát hiện PII nhị phân và chấm điểm độ tin cậy.
Danh Sách Kiểm Tra Kỹ Thuật Tuân Thủ AP
Để đáp ứng các tiêu chuẩn hiện tại của AP, các hệ thống dữ liệu cần:
- Phát hiện BSN với Elfproef — chỉ khớp mẫu là không đủ
- NER tiếng Hà Lan — mô hình như spaCy
nl_core_newsxử lý từ ghép và tên rút gọn - Phát hiện IBAN — nhận biết định dạng, không phải thông thường
- Hồ sơ bộ xử lý phụ cho tất cả chuyển dữ liệu xuyên biên giới
- TIA cho nhà cung cấp Mỹ — ưu tiên kiểm toán AP trực tiếp sau phán quyết Uber
Sau Uber, TIA cho nhà cung cấp Mỹ là yêu cầu cơ bản, không phải thực tiễn tốt nhất. Để xem phân tích đầy đủ về phán quyết và ý nghĩa chuyển dữ liệu của nó, xem Khoản phạt Uber của AP và thực thi chuyển dữ liệu xuyên biên giới.