DSA – DMA: Euroopa digitaalstrateegia kaks sammast.

Õiguslik valve nr 46 – Aprill 2022

DSA – DMA: Euroopa digitaalstrateegia kaks sammastPärast poliitilise kokkuleppe sõlmimist 22. aprilli öösel vastu 23. aprilli on DSA ehk digitaalteenuste seadus olnud digimaailmas palju kommentaaride objekt.

See digitaalteenuste õigusakt on tegelikult koos digitaalsete turgude õigusaktiga (digitaalturgude seadus) Euroopa Komisjoni 15. detsembril 2020 esitatud Euroopa süsteemi keskmes.

Selle strateegia eesmärk on luua võrdsemad võimalused ja muuta veebiplatvormid avaldatava sisu eest vastutustundlikumaks.

Eelkõige on digitaalse teenuse seaduse eesmärk muuta digitaalne keskkond läbipaistvamaks ja turvalisemaks, määratledes digitaalsete teenuste osutajate kohustused.

See täiendab Euroopa e-kaubanduse direktiivi ja teisi tekste, näiteks platvormilt ettevõttele suhtlemise määrust, aga ka sektoripõhiseid sätteid, mis reguleerivad näiteks veebipõhise vihakõne, terrorismi, diskrimineerimise või autoriõiguse modereerimist.

DSA kohaldatakse selliste platvormide suhtes nagu otsingumootorid, sotsiaalmeedia või e-kaubanduse platvormid. 

See tekst oli arvukate arutelude ja surve objektiks nii kodanikuühiskonna poolt, kes nõudis piisavalt laia kohaldamisala, kui ka digitaalmajanduse osaliste poolt, kelle taotlused olid vastupidised.

Eelkõige kerkis küsimus külastajate käitumist mõjutavate „tumedate mustrite” ja muude mehhanismide reguleerimise ulatusest (vt meie kiri nr 45).

Saavutatud poliitiline kokkulepe näib leidvat tasakaalu ühelt poolt hüpertsentraliseeritud platvormimajanduse kontrollimise ja teiselt poolt põhiõiguste, sõnavabaduse ja üksikisikute mittediskrimineerimise austamise vahel.

Järgmised elemendid on eriti tähelepanuväärsed:

• Kaebamismehhanism peaks võimaldama potentsiaalselt ebaseadusliku sisu tuvastanud inimestel saada veebimajutajalt vastuse läbipaistva menetluse kohaselt ja ilma et viimased muutuksid politsei abiteenistujateks.

• Sihtreklaam on piiratud ja tundlikke kasutajaandmeid ei kasutata.
• Samuti keelustatakse tumedad mustrid – küpsiste kuulumine selle keelu alla on ebaselge.
• Ukraina sõja kontekstis kasutusele võetud kriisireageerimismehhanism võimaldab komisjonil kuulutada välja digitaalse hädaolukorra, konsulteerides riiklike reguleerivate asutustega.

Pange tähele, et need meetmed kehtivad platvormidele ja seetõttu ei kehti veebisaitide üldine olukord.

Nende suhtes kehtivad siiski isikuandmete kaitse üldmääruse ja Euroopa elektroonilise side direktiivi sätted.

DMA täiendab digitaalset strateegiat, keskendudes konkreetselt digitaalsete turgude „ligipääsukontrolleritele” ehk „väravavahtidele”. millel on Euroopa Liidus tugev majanduslik positsioon ja mis ühendavad suure kasutajaskonna suure hulga ettevõtetega.

Selle teksti osas saavutati 25. märtsil ka poliitiline kokkulepe, mis selgitas digitaalse turuplatsi ulatust: kontseptsioon hõlmab digitaalseid turge, rakenduste poode, otsingumootoreid, sotsiaalvõrgustikke, pilveteenuseid, reklaamiteenuseid, häälassistente ja veebibrausereid.

DMA eesmärk on tagada, et need platvormid käituksid veebis õiglaselt.

Näiteks peavad nad tagama oma kiirsõnumiteenuste põhifunktsioonide koostalitlusvõime.

Lisaks ei saa nad enam:

• Oma toodete või teenuste reklaamimine teiste kahjuks (enesele viitamine)
• Ühe teenuse käigus kogutud privaatsete andmete taaskasutamine teise teenuse eesmärgil
• Kehtestada professionaalsetele kasutajatele ebaõiglased tingimused
• Teatud tarkvararakenduste eelinstallimine
• Rakenduste arendajatelt teatud teenuste (nt maksesüsteemide või identiteedipakkujate) kasutamise nõudmine rakenduste poodides kuvamiseks

Siiski väärib märkimist mured, mida on sellest ajast alates väljendanud enam kui 40 konkurentsi- ja andmekaitsesektori esindajat: 21. aprilli nädalal avaldasid nad kirja, milles selgitasid oma hirme liiga ebamäärase teksti pärast, mis võimaldaks asjaomastel ettevõtetel koondada kõik nende valduses olevad andmed ühe nõusoleku abil, samas kui isikuandmete kaitse üldmäärus nõuab iga töötlemisliigi jaoks õiguslikku alust.

Nagu ka DSA, ei ole ka avaliku sektori aktsiaturu seadused veel lõplikud: enne vastuvõtmist tuleb need heaks kiita Euroopa Parlamendi täiskogu istungil.

Samal ajal ja arvestades panuseid, ei raiska Euroopa aega: väidetavalt plaanib see avada kontori San Franciscos, et suhelda Silicon Valley tehnoloogiahiiglastega – samade ettevõtetega, mis uute digitaalreeglite kohaselt range kontrolli alla satuvad.

Ja ka

Prantsusmaa:

• Sciences Po ajakirjanduskooli aprilli keskel avaldatud uuring näitab, et 184 Prantsuse avaliku halduse saiti kasutavad Google Analyticsi, vaatamata CNIL-i ja tema kolleegide poolt esile tõstetud tagajärgedele seoses ülekannetega Ameerika Ühendriikidesse.

Nende paikade hulka kuuluvad Riiginõukogu, tolli ja presidendi kantselei.

• CNIL avaldab tehisintellekti ressursse erinevatele sihtrühmadele : spetsialistidele meeldetuletus CNIL-i põhimõtete ja seisukohtade kohta ning enesehindamise juhend; üldsusele ressursid teema paremaks mõistmiseks; spetsialistidele teave ja uuringud teemade ja hetkeolukorra kohta.
• Aprilli alguses muutis CNIL oma repressiivseid protseduure ja kehtestas lihtsustatud menetluse. vähem keeruliste juhtumite korral: kolleegiumi koosolekut ega avalikku istungit ei toimu, välja arvatud asjaomase organisatsiooni taotlusel.

Sellisel juhul määratavad karistused on piiratud: hoiatused, kuni 20 000 euro suurused trahvid ja ettekirjutus koos karistusmaksega, mille ülemmäär on 100 eurot iga viivitatud päeva kohta.

Neid sanktsioone ei avalikustata.

• 15. aprillil 2022 andis CNILi piiratud komitee välja Dedalus Biologie'le määrati 1,5 miljoni euro suurune trahv turvavea tõttu, mis viisid ligi 500 000 inimese meditsiiniliste andmete lekkimiseni.

Tarkvara migreerimise käigus tuvastati tehnilisi ja organisatsioonilisi turvapuudujääke.

Euroopa:

Euroopa Komisjon käivitas oma ettepanek Euroopa terviseandmete ruumi (EHDS) loomiseks.

Ettepaneku eesmärk on nii hõlbustada kodanike juurdepääsu oma terviseandmetele elektroonilisel kujul kui ka jagada neid teiste tervishoiutöötajatega ELis, võimaldades samal ajal teadlastele, innovaatoritele, avalik-õiguslikele asutustele või ettevõtetele juurdepääsu nendele andmetele rangete tingimuste alusel.

Iga liikmesriik peab määrama digitaalse tervise asutuse, mis osaleb piiriüleses digitaalses taristus (MyHealth@EU).

Euroopa Andmekaitsenõukogu (EDPB)

• 6. aprillil 2022 avaldas Euroopa Andmekaitsenõukogu (EDPB) avaldus transatlantilise andmekaitseraamistiku eelnõu kohta.

See avaldus järgneb Euroopa Komisjoni ja Ameerika Ühendriikide vahelisele põhimõttelisele kokkuleppele, mis kuulutati välja 25. märtsil 2022.

Euroopa Andmekaitsenõukogu juhib tähelepanu sellele, et see teadaanne ei moodusta õigusraamistikku, millele andmeeksportijad saavad oma andmeedastusi rajada.

Nad peavad jätkama meetmete rakendamist, mis on vajalikud eelkõige Euroopa Liidu Kohtu Schrems II otsuse täitmiseks.

• Euroopa Andmekaitsenõukogu avaldas 28. aprillil ka ühise seisukoha, mis käsitleb andmekaitseasutuste koostöö kontrolliküsimustes vastavus GDPR-ile.

Dokumendis kinnitatakse andmekaitseasutuste valmisolekut tugevdada oma koostööd, tuvastades strateegilise tähtsusega piiriülesed küsimused, edendades ühiseid uurimisi ja teabevahetust ning parandades teatud menetlusnorme.

Euroopa andmekaitseinspektor (EDPS)

THE Euroopa andmekaitseinspektor (EDPS) korraldab 16. ja 17. juunil Brüsselis konverentsi, mis keskendub GDPR-i järgimisele digimaailmas.

CPDP

Samuti väärib märkimist iga-aastane CPDP (arvutid, privaatsus ja andmekaitse) akadeemiline konverents, mis lükati sel aastal edasi 23.–25. maini. Programm on üles ehitatud teema ümber "Intelligentsete masinate ajastu".

Euroopa Parlament

19. aprillil Pegasuse uurimiskomisjon Euroopa Parlament on oma tööd alustanud.

Komisjonil on kaksteist kuud aega, et koostada aruanne nuhkvara kohta, mida mitmed valitsused kasutavad arvukate avaliku elu tegelaste, poliitikute, ajakirjanike ja aktivistide jälgimiseks.

Euroopa Liidu Kohus

Kaks olulist peatust Euroopa Liidu Kohus avaldati eelmisel kuul:

• 5. aprillil kinnitas kohus oma kohtupraktikat, mille kohaselt ei saa elektroonilise side andmeid (sealhulgas asukohaandmeid) raskete kuritegude vastu võitlemiseks üldiselt ja valimatult säilitada.
• 28. aprillil tunnistas kohus sõnaselgelt, et tarbijakaitseühingud võivad esitada esindushagi isikuandmete kaitse rikkumiste vastu, olenemata andmesubjekti andmekaitseõiguse tegelikust rikkumisest ja kui puudub selleks volitus.

Hispaania andmekaitseamet määras 1500 euro suuruse trahvi isikule, kes paigaldas videovalvekaamera avalikule maanteele ja eramajade lähedale ilma infoplakatita ning rikkudes isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti c ja artiklit 13.

Hollandi andmekaitseamet (DPA) trahvis välisministeeriumi 565 000 euroga. ebapiisavate turvameetmete ja piisava teabe puudumise eest asjaomastele isikutele viisataotluste kontekstis.

Ungari andmekaitseamet määras pangale tehisintellekti ebaseadusliku kasutamise eest 670 000 euro suuruse trahvi.Pank viis läbi oma klienditeeninduse helisalvestiste automaatsed analüüsid.

Taani andmekaitseamet määras Danske Bankile 1 345 000 euro suuruse trahvi andmete säilitamise ja kustutamise protseduuride mittetäitmise eest. enam kui 400 arvutisüsteemis, mis hõlmavad mitut miljonit inimest. Juhtum on ka politsei uurimise objektiks.

Belgias määras andmekaitseamet Brüsseli Zaventemi lennujaamale 200 000 euro suuruse ja Brüsseli Lõuna-Charleroi lennujaamale 100 000 euro suuruse trahvi. reisijate temperatuuri kontrollide puhul, mida teostatakse COVID-19 vastase võitluse raames ilma kehtiva õigusliku aluseta.

Rahvusvaheline:

Nutikate kõlarite kuulamis- ja salvestusvõimaluste pärast on muret.

Aprilli lõpus avaldatud akadeemiline uuring kirjeldab üksikasjalikult, kuidas Amazon kasutab Alexa kogutud andmeid reklaami sihtimise eesmärgil ja kuidas neid andmeid hinnatakse, kusjuures andmeid müüakse edasi kolmkümmend korda kõrgema hinnaga kui muid andmeid.

Aprilli keskel väljendas Iirimaa inimõiguste volinik justiitsministrile samu reservatsioone, seekord seoses nende andmete taaskasutamisega politseiuurimiste kontekstis.

21. aprillil avaldas USA riigisekretär Gina M. Raimondo avalduse „Globaalse CBPR foorumi” loomise kohta.

Selle foorumi eesmärk on hõlbustada isikuandmete ja äritegevuse edastamist Ameerika Ühendriikide, Kanada, Jaapani, Korea Vabariigi, Filipiinide, Singapuri ja Taiwani vahel.

Pane tähele, et CBPR-id (piiriülesed privaatsusreeglid) on eksisteerinud umbes kümme aastat ning sertifitseeritud ettevõtted asuvad peamiselt Ameerika Ühendriikides.

OECD plaanib töötada välja raamistiku usaldusväärse valitsuse juurdepääsuks erasektori andmetele.

See teema on üks rahvusvahelise organisatsiooni 2022. aasta prioriteete koos andmete lokaliseerimise ja isikuandmete rahvusvahelise edastamisega.

Anne Christine Lacoste

Olivier Weber Avocati partner Anne Christine Lacoste on andmeõigusele spetsialiseerunud jurist; ta oli Euroopa Andmekaitseinspektori rahvusvaheliste suhete juht ja tegeles GDPR-i rakendamisega Euroopa Liidus.