Μια νέα χρονιά υπό το σύμβολο της προσδοκίας

Νομική Παρακολούθηση Αρ. 42 – Δεκέμβριος 2021

Μια νέα χρονιά υπό το σύμβολο της προσδοκίας

Όσον αφορά την προστασία δεδομένων, η χρονιά που ξεκινά δεν προαναγγέλλει καμία σημαντική νέα εξέλιξη, αλλά μάλλον μια εξέλιξη και ίσως στρατηγικές αποφάσεις σχετικά με ορισμένα τρέχοντα ζητήματα.

Ας επικεντρωθούμε σε τρία από αυτά: την εφαρμογή του GDPR από τις εποπτικές αρχές, τα ζητήματα υγείας και τη ρύθμιση των ψηφιακών γιγάντων.

Ένα από τα επαναλαμβανόμενα θέματα από την έναρξη ισχύος του ΓΚΠΔ αφορά τη σοβαρότητα της εφαρμογής του από τις εθνικές αρχές προστασίας δεδομένων. και το μεγάλο χάσμα μεταξύ του αριθμού και της αυστηρότητας των κυρώσεων που επιβάλλονται, ανάλογα με το αν το υπεύθυνο πρόσωπο βρίσκεται, για παράδειγμα, στην Ιρλανδία ή την Ισπανία.

Η τελευταία χώρα φαίνεται να είναι μία από εκείνες που έχουν επιβάλει τον μεγαλύτερο αριθμό κυρώσεων, ενώ το Λουξεμβούργο και η CNIL μπορούν να διεκδικήσουν τα υψηλότερα πρόστιμα κατά της GAFAM (θυμηθείτε το πρόστιμο των 746 εκατομμυρίων ευρώ που επέβαλε το Λουξεμβούργο στην εταιρεία Amazon).

Στο άλλο άκρο του φάσματος βρίσκεται η ιρλανδική αρχή προστασίας δεδομένων, η οποία έχει επικριθεί ανοιχτά από ορισμένους ομολόγους της, καθώς και από τον αντιπρόεδρο της Ευρωπαϊκής Επιτροπής, για τη χαλαρότητά της απέναντι στους μεγάλους διαδικτυακούς παίκτες.

Προκειμένου να ενισχυθεί η συνοχή και η αποτελεσματικότητα των διαδικασιών ελέγχου εντός της Ευρώπης, ορισμένοι μιλούν για την ενίσχυση των εξουσιών του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (ΕΣΠΔ).

Το ζήτημα θα συζητηθεί σε συνέδριο που διοργανώνει ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων στις 16 και 17 Ιουνίου στις Βρυξέλλες.

Η επεξεργασία δεδομένων υγείας αποτελεί, μετά την κρίση στον τομέα της υγείας, ένα ακόμη σημαντικό θέμα ανησυχίας..

Ανησυχούν

• Ερωτήσεις σχετικά με ιατρικές ερευνητικές συνθήκες,
• Η επεξεργασία γενετικών δεδομένων και οι κίνδυνοι μεταπώλησης από ορισμένα εργαστήρια δεδομένων που συλλέχθηκαν στο πλαίσιο εξετάσεων διαλογής, όπως καταδεικνύεται από την πρόσφατη βρετανική υπόθεση της εταιρείας Signpost Diagnostics,
• Παρακολούθηση ατόμων μέσω εφαρμογών και άλλων ιατρικών καρτών, 

• Και τέλος, κίνδυνοι που σχετίζονται με την ασφάλεια των δεδομένων: σκεφτόμαστε ιδιαίτερα την παραβίαση δεδομένων σχετικά με τα αποτελέσματα των δοκιμών Covid της εταιρείας FranceTest, η οποία έλαβε επίσημη εντολή από την CNIL τον περασμένο Οκτώβριο να ασφαλίσει τα δεδομένα της, ή τη διαρροή δεδομένων σχετικά με την Assistance Publique-Hôpitaux de Paris.

Παρόλο που η CNIL δημοσιεύει τακτικά τις θέσεις της επί του θέματος, σημειώνουμε ότι στη σύσκεψή της προς το κοινοβούλιο στις 30 Νοεμβρίου, ανέφερε ότι περίμενε από την κυβέρνηση να παράσχει στοιχεία που αποσκοπούσαν στην υποστήριξη της αποτελεσματικότητας των αρχείων και των μέσων ελέγχου που εφαρμόστηκαν.

Ένα τρίτο επίκαιρο ζήτημα αφορά τις κανονιστικές πρωτοβουλίες της Ευρωπαϊκής Ένωσης σχετικά με τις ψηφιακές υπηρεσίες και την τεχνητή νοημοσύνη.

Εκτός από τη διαχείριση των cookies, η οποία παραμένει στο στόχαστρο των εθνικών αρχών, ο Ευρωπαίος νομοθέτης ανησυχεί για την αυξανόμενη δύναμη των διαδικτυακών γιγάντων, καθώς αυτοί οι μεσάζοντες κατέχουν δεσπόζουσα θέση και παρέχουν υπηρεσίες ανταλλαγής μηνυμάτων και κοινωνικής δικτύωσης.

Επίσης, αμφισβητείται η χρήση βιομετρικών στοιχείων και τεχνητής νοημοσύνης για ολοένα και πιο παρεμβατικούς σκοπούς δημιουργίας προφίλ, καθώς και η χειραγώγηση των χρηστών του Διαδικτύου εν αγνοία τους (σκοτεινά πρότυπα) μέσω της παρουσίασης στοχευμένου περιεχομένου.

Αρκετά κείμενα βρίσκονται στη διαδικασία έγκρισης σε ευρωπαϊκό επίπεδο, συμπεριλαμβανομένων δύο προτάσεων της Ευρωπαϊκής Επιτροπής για τις ψηφιακές αγορές και τις ψηφιακές υπηρεσίες, και μιας πρότασης σχετικά με την τεχνητή νοημοσύνη. 

Το Ευρωπαϊκό Κοινοβούλιο ενέκρινε τη θέση του σχετικά με την πρόταση για τις ψηφιακές αγορές στις 5 Δεκεμβρίου.

Μεταξύ των αλλαγών που έγιναν στο κείμενο είναι η προσθήκη απαίτησης για διαλειτουργικότητα μεταξύ των υπηρεσιών των κύριων πλατφορμών άμεσων μηνυμάτων και κοινωνικής δικτύωσης, με στόχο να επιτραπεί στους χρήστες να αλλάζουν εύκολα παρόχους υπηρεσιών και να καταπολεμούν τις δεσπόζουσες θέσεις.

Κατά την έναρξη της Γαλλικής Προεδρίας του Συμβουλίου της Ευρωπαϊκής Ένωσης, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων μόλις ευχήθηκε στη γαλλική κυβέρνηση επιτυχία, τονίζοντας παράλληλα τη σημασία αυτών των τριών σημαντικών ζητημάτων που σχετίζονται με την ψηφιακή τεχνολογία και την τεχνητή νοημοσύνη και δηλώνοντας ότι θα παρακολουθεί στενά τις εξελίξεις σε αυτούς τους τομείς.

Ενώ ορισμένες προτεραιότητες φαίνεται να έχουν ήδη προσδιοριστεί, ας ελπίσουμε ότι η νέα χρονιά θα μας φέρει επιτέλους όμορφες εκπλήξεις, καθώς και μεγάλες ανάσες φρέσκου αέρα.

Και επίσης

Γαλλία:

Η CNIL επέβαλε κυρώσεις στην εταιρεία στις 6 Ιανουαρίου Google ύψους 150 εκατομμυρίων ευρώ και η εταιρεία Facebook έως και 60 εκατομμύρια ευρώ, για μη συμμόρφωση με τις νομικές διατάξεις σχετικά με τα cookies.

Στις 28 Δεκεμβρίου, η CNIL επέβαλε πρόστιμο 300.000 ευρώ στην εταιρεία. ΔΩΡΕΑΝ ΚΙΝΗΤΟ, ιδίως επειδή δεν σεβάστηκε τα δικαιώματα των ατόμων και την ασφάλεια των δεδομένων των χρηστών του.

Την ίδια ημερομηνία, ενέκρινε επίσης την εταιρεία ΣΛΙΜΠΕΪ, η οποία προσφέρει λύσεις πληρωμών στους πελάτες της, τιμωρήθηκε με πρόστιμο 180.000 ευρώ επειδή δεν προστάτευσε επαρκώς τα προσωπικά δεδομένα των χρηστών και δεν τους ενημέρωσε για παραβίαση δεδομένων.

Ο πρόεδρος της CNIL ενημέρωσε επίσημα την εταιρεία στις 26 Νοεμβρίου CLEARVIEW AI να σταματήσει η συλλογή φωτογραφιών και βίντεο που είναι διαθέσιμα στο διαδίκτυο και να διαγράψει τα δεδομένα εντός 2 μηνών.

Η εταιρεία έχει αναπτύξει λογισμικό αναγνώρισης προσώπου, του οποίου η βάση δεδομένων βασίζεται στην εξαγωγή φωτογραφιών και βίντεο που είναι δημόσια διαθέσιμα στο διαδίκτυο.

ΕΝΑ νέα έκδοση του οδηγού προγραμματιστών CNIL μόλις δημοσιεύτηκε. Αυτός ο οδηγός παρέχει νέο περιεχόμενο που έχει σχεδιαστεί για να υποστηρίζει τους επαγγελματίες ανάπτυξης ιστοσελίδων και εφαρμογών στη διασφάλιση της συμβατότητας της εργασίας τους με τα πρότυπα.

Εκεί SNCF Τον Δεκέμβριο, μετέφερε τους 7.000 διακομιστές και τις 250 εφαρμογές της στο cloud της Amazon, και συγκεκριμένα σε τρία κέντρα δεδομένων στην περιοχή του Παρισιού.

Στόχος της εταιρείας είναι επίσης να επεκτείνει τη χρήση της τεχνητής νοημοσύνης.

Ευρώπη

Ο Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων δημοσίευσε κατευθυντήριες γραμμές στις 14 Δεκεμβρίου για να βοηθήσει τους υπεύθυνους επεξεργασίας δεδομένων να διαχειριστούν τις παραβιάσεις ασφαλείας.

Το κείμενο περιλαμβάνει μεγάλο αριθμό παραδειγμάτων και αναπτύσσει τα μέτρα που πρέπει να ληφθούν ανάλογα με το είδος του αδικήματος.

Ο Οργανισμός Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (FRA) δημοσιεύει, σε συνεργασία με τις αρχές προστασίας δεδομένων, έναν οδηγό που αποσκοπεί στην καλύτερη ενημέρωση των αιτούντων άσυλο και των μεταναστών σχετικά με τη χρήση των δακτυλικών τους αποτυπωμάτων.

Όταν σταματούν στα εξωτερικά σύνορα της Ευρωπαϊκής Ένωσης, υποχρεούνται να δώσουν τα δακτυλικά τους αποτυπώματα, τα οποία αποθηκεύονται στο αρχείο Eurodac.

Το Διοικητικό Δικαστήριο του Βισμπάντεν Την 1η Δεκεμβρίου, μια γερμανική εταιρεία διέταξε το Πανεπιστήμιο Εφαρμοσμένων Επιστημών του Ρήνου να σταματήσει κάθε χρήση του διαχειριστή συγκατάθεσης «Cookiebot». Ο λόγος για αυτό ήταν η παράνομη μεταφορά δεδομένων επισκεπτών ιστοτόπου στις Ηνωμένες Πολιτείες.

Η Φινλανδική Αρχή Προστασίας Δεδομένων επέβαλε πρόστιμο άνω των 600.000 ευρώ σε μια εταιρεία ψυχοθεραπείας στις 7 Δεκεμβρίου επειδή δεν διασφάλισε επαρκώς την ασφάλεια των δεδομένων των ασθενών της και δεν τους ενημέρωσε για δύο παραβιάσεις ασφαλείας που οδήγησαν σε εκβιασμό εναντίον των εμπλεκόμενων ασθενών και της ίδιας της εταιρείας.

Η Νορβηγική Αρχή Προστασίας Δεδομένων επέβαλε πρόστιμο ύψους 6.300.000 ευρώ σε βάρος Grindr να κοινοποιήσει τα δεδομένα των χρηστών του σε τρίτους για σκοπούς δημιουργίας προφίλ και διαφήμισης, χωρίς τη συγκατάθεσή τους.

Η Ολλανδική Φορολογική Διοίκηση επιβλήθηκε πρόστιμο 2.750.000 ευρώ για επεξεργασία δεδομένων χωρίς νομική βάση και κατά παραβίαση της αρχής της δίκαιης μεταχείρισης (άρθρα 5(1)(α) και 6(1)(ε) του ΓΚΠΔ).

Το Βελγικό Υπουργείο Άμυνας έπεσε θύμα σοβαρής κυβερνοεπίθεσης στις 20 Δεκεμβρίου που προκλήθηκε από το κακόβουλο λογισμικό Log4Shell, το οποίο επηρέασε τις δραστηριότητες της διοίκησης για αρκετές ημέρες. 

Η Βελγική Αρχή Προστασίας Δεδομένων επέβαλε πρόστιμο 10.000 ευρώ σε μια εταιρεία επειδή αγόρασε μια βάση δεδομένων για σκοπούς άμεσου μάρκετινγκ χωρίς να ελέγξει ότι τα δεδομένα είχαν συλλεχθεί νόμιμα.

Η εταιρεία παρέλειψε επίσης να ενημερώσει τα εμπλεκόμενα άτομα για αυτήν την έμμεση συλλογή, ούτε να απαντήσει στο αίτημα ενός ατόμου για πρόσβαση.

Διεθνές:

Αμαζόνα έχει υποβάλει αρκετές αιτήσεις ευρεσιτεχνίας για βιομετρικές τεχνολογίες που έχουν σχεδιαστεί για να επιτρέπουν στις κάμερες βιντεοτηλεφώνων να ανιχνεύουν ύποπτα άτομα με βάση διάφορα κριτήρια: οσμή, υφή δέρματος, δακτυλικά αποτυπώματα, μάτια, φωνή και βάδισμα.

Εκεί Νότια Κορέα θεωρείται ότι παρέχει επαρκές επίπεδο προστασίας από τις 17 Δεκεμβρίου. Η απόφαση της Ευρωπαϊκής Επιτροπής έρχεται λίγους μήνες μετά τη σύναψη συμφωνίας ελεύθερων συναλλαγών μεταξύ της Ευρωπαϊκής Ένωσης και της Κορέας, η οποία τέθηκε σε ισχύ τον Ιούλιο του 2021.

Από τις 15 Φεβρουαρίου, το κινεζική κυβέρνηση θα υποβάλει κινεζικές εταιρείες με διεθνείς επιχειρηματικές δραστηριότητες σε μια σειρά ελέγχων στον κυβερνοχώρο.

Οι έλεγχοι αποσκοπούν στον περιορισμό της μετάδοσης στρατηγικών δεδομένων εκτός της χώρας.