Розрив у штрафах
З 2018 року регулятори ЄС наклали штрафів GDPR на суму понад €6,2 мільярда. Розподіл разючий: €4,7 мільярда — 83% — отримали американські компанії.
Вісім із десяти найбільших штрафів торкнулися американських технологічних компаній.
Десять найбільших штрафів GDPR
| Місце | Компанія | Штраф | Причина | Рік |
|---|---|---|---|---|
| 1 | Meta (Ірландія) | €1,2 млрд | Передачі ЄС-США | 2023 |
| 2 | Amazon (Люксембург) | €746 млн | Таргетована реклама | 2021 |
| 3 | TikTok (Ірландія) | €530 млн | Передачі до Китаю | 2025 |
| 4 | Instagram (Ірландія) | €405 млн | Дані дітей | 2022 |
| 5 | Meta (Ірландія) | €390 млн | Правова основа для реклами | 2023 |
| 6 | TikTok (Ірландія) | €345 млн | Конфіденційність дітей | 2023 |
| 7 | LinkedIn (Ірландія) | €310 млн | Поведінковий аналіз | 2024 |
| 8 | Uber (Нідерланди) | €290 млн | Дані водіїв до США | 2024 |
| 9 | Meta (Ірландія) | €265 млн | Скрейпінг | 2022 |
| 10 | WhatsApp (Ірландія) | €225 млн | Прозорість | 2021 |
Найбільші штрафи мають одну спільну причину: транскордонні передачі. Одна лише Meta — включаючи Instagram і WhatsApp — отримала €2,4 мільярда.
Чому американські передачі не відповідають GDPR
Рішення Schrems II
У липні 2020 року суд ЄС скасував Privacy Shield. Американські закони про стеження суперечать правам на конфіденційність в ЄС. Це рішення відоме як Schrems II.
Воно має три основні наслідки:
- Стандартних договірних положень самих по собі недостатньо
- Компанії повинні перевіряти, чи надає американське законодавство належний захист
- Більшість передач потребують додаткових технічних заходів
Проблема CLOUD Act
Американське законодавство може змусити американські компанії передати збережені файли. Це справедливо навіть коли файли зберігаються на серверах в ЄС. CLOUD Act дозволяє американським агентствам вимагати вміст від американських компаній — будь-де у світі.
Це головна проблема для американських хмарних провайдерів в ЄС.
Два знакові штрафи
Штраф Meta на €1,2 мільярда (2023)
Ірландська DPC встановила, що Meta надсилала дані користувачів з ЄС до США без дійсної правової підстави. Meta мала припинити всі передачі ЄС-США протягом п'яти місяців. Це був найбільший штраф GDPR в історії.
Штраф Uber на €290 мільйонів (2024)
Нідерландські регулятори оштрафували Uber за переміщення даних водіїв до США. Uber використовувала Стандартні договірні положення. Але їй бракувало додаткових гарантій, які тепер вимагає Schrems II.
Що перевіряють регулятори
Контролери тепер дивляться на три речі:
- Чи справді необхідна передача?
- Чи є додаткові гарантії?
- Чи надає законодавство цільової країни належний захист?
Рішення: суверенітет даних в ЄС
Найбезпечніший шлях — зберігати персональні дані в ЄС. Це усуває транскордонний ризик у корені.
Інфраструктура anonym.legal
| Характеристика | Деталь |
|---|---|
| Хостинг | Hetzner, Німеччина (ISO 27001) |
| Хмара | Без AWS, Azure або GCP |
| Обробка | 100% сервери ЄС |
| Юридична особа | Німецька юридична особа |
| CLOUD Act | Не застосовується — без американської материнської компанії |
Вхід за принципом нульових знань
Наш вхід за принципом нульових знань додає другий рівень захисту:
- Паролі ніколи не покидають ваш пристрій
- Збережені ключі шифрування зберігаються в зашифрованому вигляді (AES-256-GCM) на серверах у ЄС
- Надісланий текст обробляється в дата-центрах ЄС (Hetzner, Falkenstein)
- У нашому стеку немає backdoor
Дивіться наш огляд відповідності безпеці для повного переліку технічних засобів контролю.
Кроки для американських компаній
1. Скоротіть те, що передається
Анонімізуйте персональні ідентифікатори перед будь-якою передачею. Надсилайте лише те, що справді необхідно.
2. Використовуйте провайдерів з ЄС
Для даних користувачів з ЄС обирайте сервіси на базі ЄС, де це можливо. Наш посібник з відповідності GDPR охоплює вибір постачальників.
3. Додайте додаткові гарантії
Якщо передачі необхідні, застосовуйте шифрування та токенізацію. Це блокує доступ американських агентств навіть за примусом.
4. Проведіть оцінку впливу передачі
Задокументуйте свій аналіз того, чи захищає законодавство цільової країни дані з ЄС. DPA тепер очікують цього як стандартного кроку.
Як допомагає anonym.legal
Перед передачею: замінюйте персональні ідентифікатори токенами. Надсилайте токенізовану форму. Зберігайте реальні значення в ЄС.
Для відповідності: хостинг у Німеччині, вхід у систему з нульовими знаннями, повні журнали аудиту та відповідність GDPR за замовчуванням.
Ціни: Безкоштовний рівень: 200 токенів на місяць. Basic: €3/місяць. Business: €29/місяць.
Почніть захищати дані з ЄС сьогодні. Почати безкоштовне випробування.