Ψηφιακή Ψηφιακή Σχεδίαση (DSA) – Ψηφιακή Σχεδίαση (DMA): δύο πυλώνες της ευρωπαϊκής ψηφιακής στρατηγικής.

Νομική Παρακολούθηση Αρ. 46 – Απρίλιος 2022

Ψηφιακή Ψηφιακή Στρατηγική (DSA) – Ψηφιακή Ψηφιακή Στρατηγική (DMA): δύο πυλώνες της ευρωπαϊκής ψηφιακής στρατηγικήςΑπό τη σύναψη πολιτικής συμφωνίας τη νύχτα της 22ας προς 23η Απριλίου, ο Νόμος περί Ψηφιακών Υπηρεσιών (DSA) ή Νόμος περί Ψηφιακών Υπηρεσιών έχει αποτελέσει αντικείμενο πολλών σχολίων στον ψηφιακό κόσμο.

Αυτή η νομοθεσία για τις ψηφιακές υπηρεσίες βρίσκεται στην πραγματικότητα, μαζί με τη νομοθεσία για τις ψηφιακές αγορές (Νόμος για τις Ψηφιακές Αγορές), στην καρδιά του ευρωπαϊκού συστήματος που παρουσίασε η Ευρωπαϊκή Επιτροπή στις 15 Δεκεμβρίου 2020.

Στόχος αυτής της στρατηγικής είναι να δημιουργήσει πιο ισότιμους όρους ανταγωνισμού και να καταστήσει τις διαδικτυακές πλατφόρμες πιο υπεύθυνες για το περιεχόμενο που δημοσιεύουν.

Ο νόμος για τις ψηφιακές υπηρεσίες (DSA), ειδικότερα, στοχεύει να καταστήσει το ψηφιακό περιβάλλον πιο διαφανές και ασφαλές, ορίζοντας τις ευθύνες των παρόχων ψηφιακών υπηρεσιών.

Θα συμπληρώσει την ευρωπαϊκή οδηγία για το ηλεκτρονικό εμπόριο και άλλα κείμενα όπως ο κανονισμός «από πλατφόρμα σε επιχείρηση», καθώς και ειδικές τομεακές διατάξεις που ρυθμίζουν, για παράδειγμα, τον έλεγχο της ρητορικής μίσους στο διαδίκτυο, την τρομοκρατία, τις διακρίσεις ή τα πνευματικά δικαιώματα.

Ο νόμος DSA θα ισχύει για πλατφόρμες όπως οι μηχανές αναζήτησης, τα μέσα κοινωνικής δικτύωσης ή οι πλατφόρμες ηλεκτρονικού εμπορίου. 

Το κείμενο αυτό αποτέλεσε αντικείμενο πολυάριθμων συζητήσεων και πιέσεων, τόσο από την κοινωνία των πολιτών, η οποία απαιτούσε ένα αρκετά ευρύ πεδίο εφαρμογής, όσο και από τους φορείς της ψηφιακής οικονομίας, των οποίων τα αιτήματα κινούνταν προς την αντίθετη κατεύθυνση.

Συγκεκριμένα, τέθηκε το ζήτημα του πεδίου εφαρμογής της ρύθμισης των «σκοτεινών μοτίβων» και άλλων μηχανισμών που αποσκοπούν στην επιρροή της συμπεριφοράς των επισκεπτών (βλ. επιστολή μας αριθ. 45).

Η πολιτική συμφωνία που έχει επιτευχθεί φαίνεται να επιτυγχάνει μια ισορροπία μεταξύ του ελέγχου μιας υπερσυγκεντρωτικής οικονομίας πλατφορμών αφενός και του σεβασμού των θεμελιωδών δικαιωμάτων, της ελευθερίας της έκφρασης και της μη διάκρισης εις βάρος των ατόμων αφετέρου.

Τα ακόλουθα στοιχεία είναι ιδιαίτερα αξιοσημείωτα:

• Ένας μηχανισμός προσφυγής θα πρέπει να επιτρέπει σε άτομα που έχουν εντοπίσει ενδεχομένως παράνομο περιεχόμενο να λαμβάνουν απάντηση από τον πάροχο φιλοξενίας, σύμφωνα με μια διαφανή διαδικασία και χωρίς να μετατρέπουν τον τελευταίο σε βοηθό της αστυνομίας.

• Η στοχευμένη διαφήμιση θα είναι περιορισμένη, χωρίς τη χρήση ευαίσθητων δεδομένων χρηστών.
• Τα σκούρα μοτίβα θα απαγορευτούν επίσης – η συμπερίληψη των cookies σε αυτήν την απαγόρευση είναι αβέβαιη.
• Ένας μηχανισμός αντιμετώπισης κρίσεων, που εισήχθη στο πλαίσιο του πολέμου στην Ουκρανία, επιτρέπει στην Επιτροπή να κηρύξει κατάσταση ψηφιακής έκτακτης ανάγκης σε συνεννόηση με τις εθνικές ρυθμιστικές αρχές.

Σημειώστε ότι αυτά τα μέτρα ισχύουν για τις πλατφόρμες και, ως εκ τούτου, αφήνουν την κατάσταση αμετάβλητη όσον αφορά τους ιστότοπους γενικότερα.

Ωστόσο, αυτά εξακολουθούν να υπόκεινται στις διατάξεις του ΓΚΠΔ και της ευρωπαϊκής οδηγίας για τις ηλεκτρονικές επικοινωνίες.

Η DMA συμπληρώνει την ψηφιακή στρατηγική στοχεύοντας συγκεκριμένα στους «ελεγκτές πρόσβασης» στις ψηφιακές αγορές ή «φύλακες». τα οποία κατέχουν ισχυρή οικονομική θέση στην Ευρωπαϊκή Ένωση και συνδέουν μια μεγάλη βάση χρηστών με μεγάλο αριθμό επιχειρήσεων.

Στις 25 Μαρτίου επιτεύχθηκε επίσης πολιτική συμφωνία επί του κειμένου αυτού, η οποία διευκρίνισε το πεδίο εφαρμογής της DMA: η έννοια καλύπτει τις ψηφιακές αγορές, τα καταστήματα εφαρμογών, τις μηχανές αναζήτησης, τα κοινωνικά δίκτυα, τις υπηρεσίες cloud, τις υπηρεσίες διαφήμισης, τους φωνητικούς βοηθούς και τα προγράμματα περιήγησης ιστού.

Η DMA στοχεύει να διασφαλίσει ότι αυτές οι πλατφόρμες συμπεριφέρονται δίκαια στο διαδίκτυο.

Για παράδειγμα, θα πρέπει να διασφαλίσουν τη διαλειτουργικότητα των βασικών λειτουργιών των υπηρεσιών άμεσων μηνυμάτων τους.

Επιπλέον, δεν θα μπορούν πλέον να:

• Προώθηση των δικών τους προϊόντων ή υπηρεσιών εις βάρος εκείνων των άλλων (αυτοαναφορά)
• Επαναχρησιμοποίηση προσωπικών δεδομένων που συλλέγονται κατά τη διάρκεια μιας υπηρεσίας για τους σκοπούς μιας άλλης υπηρεσίας
• Καθιέρωση άδικων όρων για τους επαγγελματίες χρήστες
• Προεγκατάσταση ορισμένων εφαρμογών λογισμικού
• Απαίτηση από τους προγραμματιστές εφαρμογών να χρησιμοποιούν ορισμένες υπηρεσίες (π.χ. συστήματα πληρωμών ή παρόχους ταυτότητας) για να καταχωρούνται σε καταστήματα εφαρμογών

Ωστόσο, αξίζει να σημειωθούν οι ανησυχίες που εξέφρασαν έκτοτε περισσότεροι από 40 εκπρόσωποι του τομέα του ανταγωνισμού και της προστασίας δεδομένων: κατά την εβδομάδα της 21ης Απριλίου, δημοσίευσαν μια επιστολή στην οποία εξηγούσαν τους φόβους τους σχετικά με ένα κείμενο που είναι πολύ αόριστο, το οποίο θα επέτρεπε στις εμπλεκόμενες εταιρείες να συνδυάσουν όλα τα δεδομένα που έχουν στην κατοχή τους χρησιμοποιώντας μία μόνο συγκατάθεση, ενώ ο ΓΚΠΔ απαιτεί νομική βάση για κάθε είδος επεξεργασίας που εκτελείται.

Η DMA, όπως και η DSA, δεν είναι ακόμη οριστικές: πρέπει να εγκριθούν στην ολομέλεια του Ευρωπαϊκού Κοινοβουλίου πριν από την έγκρισή τους.

Εν τω μεταξύ, και δεδομένων των διακυβευμάτων, η Ευρώπη δεν χάνει χρόνο: φέρεται να σχεδιάζει να ανοίξει γραφείο στο Σαν Φρανσίσκο για να συνεργαστεί με τους τεχνολογικούς γίγαντες της Σίλικον Βάλεϊ, τις ίδιες εταιρείες που θα υπόκεινται σε αυστηρούς ελέγχους βάσει των νέων ψηφιακών κανόνων.

Και επίσης

Γαλλία:

• Μια μελέτη που δημοσιεύθηκε στα μέσα Απριλίου από τη σχολή δημοσιογραφίας Sciences Po δείχνει ότι 184 ιστότοποι δημόσιας διοίκησης στη Γαλλία χρησιμοποιούν το Google Analytics, παρά τις επιπτώσεις που επισημάνθηκαν από την CNIL και τους ομολόγους της σχετικά με τις μεταφορές προς τις Ηνωμένες Πολιτείες.

Αυτές οι τοποθεσίες περιλαμβάνουν εκείνες του Συμβουλίου της Επικρατείας, των τελωνείων και της προεδρίας.

• Το CNIL δημοσιεύει πόρους για την τεχνητή νοημοσύνη για διαφορετικά ακροατήρια για τους επαγγελματίες, μια υπενθύμιση των αρχών, των θέσεων της CNIL και ένας οδηγός αυτοαξιολόγησης· για το ευρύ κοινό, πόροι για την καλύτερη κατανόηση του ζητήματος· τέλος, για τους ειδικούς, πληροφορίες και μελέτες σχετικά με τα ζητήματα και την τρέχουσα κατάσταση της τεχνολογίας.
• Στις αρχές Απριλίου, η CNIL τροποποίησε τις κατασταλτικές της διαδικασίες και δημιούργησε μια απλοποιημένη διαδικασία. για λιγότερο περίπλοκες περιπτώσεις: καμία συνεδρίαση του σώματος ή δημόσια συνεδρίαση εκτός εάν ζητηθεί από τον ενδιαφερόμενο οργανισμό.

Οι κυρώσεις που μπορούν να επιβληθούν σε αυτό το πλαίσιο είναι περιορισμένες: προειδοποιήσεις, πρόστιμα έως και 20.000 ευρώ και ασφαλιστικά μέτρα με ανώτατο όριο χρηματικής ποινής 100 ευρώ ανά ημέρα καθυστέρησης.

Αυτές οι κυρώσεις δεν δημοσιοποιούνται.

• Στις 15 Απριλίου 2022, η περιορισμένη επιτροπή της CNIL εξέδωσε Πρόστιμο 1,5 εκατομμυρίου ευρώ στην Dedalus Biologie για κενά ασφαλείας που οδήγησαν στη διαρροή ιατρικών δεδομένων σχεδόν 500.000 ανθρώπων.

Κατά τη διάρκεια των εργασιών μετεγκατάστασης λογισμικού, εντοπίστηκαν τεχνικές και οργανωτικές ελλείψεις ασφαλείας.

Ευρώπη:

Η Ευρωπαϊκή Επιτροπή ξεκίνησε την πρόταση για έναν Ευρωπαϊκό Χώρο Δεδομένων Υγείας (EHDS).

Η πρόταση στοχεύει τόσο στη διευκόλυνση της πρόσβασης των πολιτών στα δεδομένα υγείας τους σε ηλεκτρονική μορφή όσο και στην κοινοποίησή τους σε άλλους επαγγελματίες υγείας εντός της ΕΕ, επιτρέποντας παράλληλα την πρόσβαση σε αυτά τα δεδομένα υπό αυστηρές προϋποθέσεις σε ερευνητές, καινοτόμους, δημόσιους φορείς ή εταιρείες.

Κάθε κράτος μέλος θα πρέπει να ορίσει μια ψηφιακή αρχή υγείας η οποία θα συμμετέχει σε μια διασυνοριακή ψηφιακή υποδομή (MyHealth@EU).

Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (EDPB)

• Στις 6 Απριλίου 2022, το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (EDPB) δημοσίευσε Δήλωση σχετικά με το σχέδιο διατλαντικού πλαισίου προστασίας δεδομένων.

Η παρούσα δήλωση έρχεται σε συνέχεια της κατ’ αρχήν συμφωνίας μεταξύ της Ευρωπαϊκής Επιτροπής και των Ηνωμένων Πολιτειών που ανακοινώθηκε στις 25 Μαρτίου 2022.

Το ΕΣΠΔ επισημαίνει ότι η παρούσα ανακοίνωση δεν αποτελεί νομικό πλαίσιο στο οποίο οι εξαγωγείς δεδομένων μπορούν να βασίσουν τις μεταφορές τους.

Πρέπει να συνεχίσουν να εφαρμόζουν τις ενέργειες που απαιτούνται για τη συμμόρφωση, ιδίως, με την απόφαση Schrems II του Δικαστηρίου της Ευρωπαϊκής Ένωσης.

• Το ΕΣΠΔ δημοσίευσε επίσης κοινή θέση στις 28 Απριλίου σχετικά με το συνεργασία μεταξύ των αρχών προστασίας δεδομένων σε θέματα ελέγχου συμμόρφωση με τον ΓΚΠΔ.

Το έγγραφο επιβεβαιώνει την προθυμία των ΑΠΔ να ενισχύσουν τη συνεργασία τους εντοπίζοντας διασυνοριακά ζητήματα στρατηγικής σημασίας, προωθώντας κοινές έρευνες, ανταλλαγές πληροφοριών και βελτιώνοντας ορισμένους διαδικαστικούς κανόνες.

Ευρωπαίος Επόπτης Προστασίας Δεδομένων (ΕΕΠΔ)

Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων (ΕΕΠΔ) διοργανώνει συνέδριο στις Βρυξέλλες στις 16 και 17 Ιουνίου με επίκεντρο τη συμμόρφωση με τον ΓΚΠΔ στον ψηφιακό κόσμο.

CPDP

Αξίζει επίσης να σημειωθεί το ετήσιο ακαδημαϊκό συνέδριο CPDP (Υπολογιστές, Ιδιωτικότητα και Προστασία Δεδομένων), το οποίο αναβλήθηκε για τις 23-25 Μαΐου φέτος. Το πρόγραμμα διαρθρώνεται γύρω από το θέμα «Η εποχή των ευφυών μηχανών».

Ευρωπαϊκό Κοινοβούλιο

Στις 19 Απριλίου, το Εξεταστική Επιτροπή Πήγασος Το Ευρωπαϊκό Κοινοβούλιο ξεκίνησε τις εργασίες του.

Η επιτροπή έχει στη διάθεσή της δώδεκα μήνες για να προετοιμάσει την έκθεσή της σχετικά με το λογισμικό κατασκοπείας που χρησιμοποιείται από διάφορες κυβερνήσεις για την κατασκοπεία πολυάριθμων δημόσιων προσώπων, πολιτικών, δημοσιογράφων και ακτιβιστών.

Δικαστήριο της Ευρωπαϊκής Ένωσης

Δύο σημαντικοί σταθμοί του Δικαστήριο της Ευρωπαϊκής Ένωσης δημοσιεύθηκαν τον περασμένο μήνα:

• Στις 5 Απριλίου, το Δικαστήριο επιβεβαίωσε τη νομολογία του ότι τα δεδομένα ηλεκτρονικών επικοινωνιών (συμπεριλαμβανομένων των δεδομένων τοποθεσίας) δεν μπορούν να διατηρούνται γενικά και αδιακρίτως για την καταπολέμηση σοβαρών εγκλημάτων.
• Στις 28 Απριλίου, το Δικαστήριο αναγνώρισε ρητά ότι οι ενώσεις προστασίας των καταναλωτών μπορούν να ασκούν αντιπροσωπευτικές αγωγές κατά παραβιάσεων της προστασίας των προσωπικών δεδομένων, ανεξάρτητα από την πραγματική παραβίαση του δικαιώματος προστασίας των δεδομένων ενός υποκειμένου των δεδομένων και ελλείψει σχετικής εντολής.

Η Ισπανική Αρχή Προστασίας Δεδομένων επέβαλε πρόστιμο 1.500 ευρώ σε άτομο που εγκατέστησε κάμερα παρακολούθησης με θέα στον δημόσιο αυτοκινητόδρομο και κοντά σε ιδιωτικές κατοικίες, χωρίς ενημερωτική αφίσα και κατά παράβαση των άρθρων 5(1)(γ) και 13 του ΓΚΠΔ.

Η ολλανδική Αρχή Προστασίας Δεδομένων (DPA) επέβαλε πρόστιμο 565.000 ευρώ στο Υπουργείο Εξωτερικών για ανεπαρκή μέτρα ασφαλείας και έλλειψη επαρκούς ενημέρωσης των ενδιαφερομένων στο πλαίσιο αιτήσεων θεώρησης.

Η ουγγρική αρχή προστασίας δεδομένων επέβαλε πρόστιμο 670.000 ευρώ σε μια τράπεζα για παράνομη χρήση τεχνητής νοημοσύνης.Η τράπεζα διεξήγαγε αυτόματες αναλύσεις ηχητικών ηχογραφήσεων της εξυπηρέτησης πελατών της.

Η Δανική Αρχή Προστασίας Δεδομένων επέβαλε πρόστιμο 1.345.000 ευρώ στην Danske Bank για μη συμμόρφωση με τις διαδικασίες διατήρησης και διαγραφής δεδομένων. σε περισσότερα από 400 συστήματα υπολογιστών που αφορούν αρκετά εκατομμύρια ανθρώπους. Η υπόθεση αποτελεί επίσης αντικείμενο αστυνομικής έρευνας.

Στο Βέλγιο, η DPA επέβαλε πρόστιμο 200.000 ευρώ στο αεροδρόμιο Zaventem των Βρυξελλών και 100.000 ευρώ στο αεροδρόμιο Brussels South Charleroi. για ελέγχους θερμοκρασίας επιβατών που πραγματοποιούνται στο πλαίσιο της καταπολέμησης της COVID-19 χωρίς έγκυρη νομική βάση.

Διεθνές:

Υπάρχουν ανησυχίες σχετικά με τις δυνατότητες ακρόασης και ηχογράφησης των έξυπνων ηχείων.

Μια ακαδημαϊκή μελέτη που δημοσιεύθηκε στα τέλη Απριλίου περιγράφει λεπτομερώς τη χρήση δεδομένων που συλλέγονται από την Alexa από την Amazon για σκοπούς στόχευσης διαφημίσεων και την αποτίμηση αυτών των δεδομένων, τα οποία μεταπωλούνται τριάντα φορές περισσότερο από άλλα δεδομένα.

Στα μέσα Απριλίου, ο Ιρλανδός Επίτροπος Ανθρωπίνων Δικαιωμάτων εξέφρασε τις ίδιες επιφυλάξεις στον Υπουργό Δικαιοσύνης, αυτή τη φορά σχετικά με την επαναχρησιμοποίηση αυτών των δεδομένων στο πλαίσιο αστυνομικών ερευνών.

Στις 21 Απριλίου, η Υπουργός Εξωτερικών των ΗΠΑ, Τζίνα Μ. Ραϊμόντο, εξέδωσε δήλωση σχετικά με τη δημιουργία του «Παγκόσμιου Φόρουμ CBPR».

Αυτό το φόρουμ στοχεύει στη διευκόλυνση της μεταφοράς προσωπικών δεδομένων και εμπορικών δραστηριοτήτων μεταξύ των Ηνωμένων Πολιτειών, του Καναδά, της Ιαπωνίας, της Δημοκρατίας της Κορέας, των Φιλιππίνων, της Σιγκαπούρης και της Ταϊβάν.

Σημειώστε ότι οι Κανόνες Διασυνοριακής Προστασίας Προσωπικών Δεδομένων (CBPR) υπάρχουν εδώ και περίπου δέκα χρόνια, με πιστοποιημένες εταιρείες κυρίως στις Ηνωμένες Πολιτείες.

Ο ΟΟΣΑ σχεδιάζει να αναπτύξει ένα πλαίσιο για αξιόπιστη πρόσβαση της κυβέρνησης σε δεδομένα του ιδιωτικού τομέα.

Αυτό το θέμα αποτελεί μία από τις προτεραιότητες του διεθνούς οργανισμού για το 2022, μαζί με τον εντοπισμό δεδομένων και τις διεθνείς μεταφορές προσωπικών δεδομένων.

Άννα Κριστίν Λακόστ

Η Anne Christine Lacoste, συνεργάτιδα της Olivier Weber Avocat, είναι δικηγόρος με εξειδίκευση στο δίκαιο των δεδομένων. Διετέλεσε επικεφαλής διεθνών σχέσεων στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων και εργάστηκε για την εφαρμογή του GDPR στην Ευρωπαϊκή Ένωση.