Zoom tidak kompatibel dengan GDPR, klaim pengawas perlindungan data untuk kota Hamburg di Jerman • The Register

Komisaris Sementara Hamburg untuk Perlindungan Data dan Kebebasan Informasi secara resmi diperingatkan Kanselir Senat Kota untuk tidak menggunakan versi perangkat lunak konferensi video Zoom sesuai permintaan.

Mengacu pada keputusan Schrems II dari Pengadilan Eropa Juli 2020, Ulrich Kühn mengklaim bahwa perangkat lunak tersebut melanggar Pedoman Perlindungan Data Umum (GDPR) UE karena “penggunaan tersebut dikaitkan dengan transmisi data pribadi di Amerika Serikat”.

Kühn berkata terus terang:

Dr Gabriela Zanfir-Fortuna, Direktur Future of Privacy Forum, secara terbuka berspekulasi pagi ini Zoom mengandalkan “pada CCS, tetapi dengan tindakan tambahan yang tidak memadai”, dengan alasan: “Sebuah diagram muncul yang menunjukkan kantor publik, lembaga pemerintah, dan penyedia layanan mereka yang berbasis di Amerika Serikat sebagai target langsung aplikasi Schrems II… orang-orang musim gugur yang sibuk.”

Neil Brown, direktur firma hukum virtual Inggris decode.legal, mengatakan Pendaftaran dia menafsirkan siaran pers “agak miring” yang berarti bahwa DPA Hamburg menganggap bahwa Zoom “tidak memberikan tingkat perlindungan data pribadi yang ‘pada dasarnya setara’ dengan yang ditawarkan oleh GDPR”.

Brown menambahkan, “Banyak perusahaan mendekati aspek transfer internasional GDPR dengan memasukkan Klausul Kontrak Standar / CCS ke dalam kontrak mereka dengan organisasi yang berlokasi di yurisdiksi yang tidak sesuai.

“Dalam Schrems II, CJEU menyatakan bahwa ini tidak, dengan sendirinya, cukup, dan bahwa supervisor yang mentransfer harus melakukan penilaian risiko penuh dan menerapkan langkah-langkah tambahan yang sesuai untuk memastikan perlindungan yang “secara substansial setara”.

“Dan itu mengejutkan banyak orang, karena itu menyarankan bahwa klausa model tidak sesuai dengan tujuan mereka. Dan, begitulah, ada keseluruhan Eropa baru, yang jauh lebih rumit.”

Pernyataan Kühn kemudian dalam peringatan (melalui Google Terjemahan) bahwa Kanselir Senat “tidak mau menanggapi … kekhawatiran berulang” dan melewatkan tenggat waktu untuk mengirimkan dokumen dan argumen juga menarik l ‘Peringatan. Brown berkata Reg ini menunjukkan bahwa “peringatan itu berasal, setidaknya sebagian, dari kurangnya kerja sama” dari Kanselir Senat, berspekulasi bahwa itu mungkin ada hubungannya dengan “pertempuran politik internal”.

Adapun implikasi yang lebih luas dari keputusan Schrems II, termasuk CSC baru, Brown mengatakan itu adalah: “Kabar baik untuk pengacara, untuk solusi yang dihosting sendiri dan untuk penyedia layanan yang tidak perlu. perlu mentransfer data pribadi ke Less daripada kabar baik bagi siapa pun yang menghadapi tumpukan dokumen dan tagihan baru dari pengacara. “

Perbesar dicatat produknya mencakup “mekanisme persetujuan eksplisit untuk pengguna UE” pada platformnya dan bahwa ia telah menyiapkan cookie “tanpa beban” untuk pengguna yang alamat IP-nya menunjukkan bahwa mereka mengakses situs dari negara anggota UE.

Di bawah judul “Informasi spesifik tentang perlindungan data Eropa”, Zoom mengatakan:

Kami telah meminta klarifikasi dari kabinet. Halaman tersebut terakhir diperbarui pada 4 Juni 2021 – pada hari yang sama Komisi Eropa menerbitkan keputusan implementasi terakhirnya yang mengadopsi beberapa klausul kontrak standar baru untuk transfer data pribadi ke negara ketiga. SCC baru – melayani organisasi yang melakukan transfer data ke dan dari UE dan mencakup prosesor Eropa dan pengontrol AS – merupakan tanggapan terhadap kekurangan SCC sebelumnya yang disorot dalam penilaian Schrems II.

Hati-hati dengan celah Brexit

Komisaris Informasi Inggris adalah saat ini sedang mengerjakan rancangan perjanjian transfer data internasionalnya sendiri. Regulator juga baru-baru ini memutuskan untuk merancang pengendara kontrak khusus Inggris sehingga daerah tersebut dapat membangun klausul kontrak standar UE baru ini pada transfer data pribadi internasional untuk memungkinkan penggunaan SCC baru dari Komisi Eropa dalam konteks Inggris. Brexit berarti Brexit.

Di latar belakang adalah laporan Gugus Tugas Inovasi, Pertumbuhan dan Reformasi Regulasi (TIGRR), yang ditandai dengan a Reg kolega sebagai “pasukan anggota parlemen Konservatif Brexit” yang mengacu pada Pasal 5 GDPR, yang antara lain menetapkan bahwa data harus “dikumpulkan untuk tujuan tertentu, eksplisit, dan sah” dan “memadai, relevan, dan terbatas pada yang diperlukan . “Laporan itu menyesalkan bahwa ini mencegah” organisasi AI mengumpulkan data baru sebelum memahami nilai potensialnya dan itu juga berarti bahwa data yang ada tidak dapat digunakan kembali untuk tujuan baru.”

Komisi telah secara resmi mengumumkan adopsi keputusan kecukupan untuk Inggris [PDF] pada tanggal 28 Juni, yang akan melegakan bagi banyak bisnis di seluruh negeri yang bergantung pada umpan data UE. Namun, seperti yang telah ditunjukkan oleh para kritikus, penunjukan kecukupan mungkin belum tentu valid jika upaya yang ditentukan dilakukan untuk mengalihkan hukum Inggris terlalu jauh dari perlindungan yang diberikan kepada warga negara Uni Eropa.

Kami meminta Zoom untuk berkomentar. ®