Andmekaitse täies hoos

Õiguslik jälgimine nr 20 – 10. veebruar 2020

Seda me mäletame uue aasta esimestest nädalatest, mil arvukalt arutelusid oluliste sündmuste puhul peeti:

• Rahvusvaheline andmekaitsepäev sel jaanuaril 28.
• Eelmisel nädalal Brüsselis akadeemilise sektori korraldatud rahvusvaheline andmekaitsekonverents ja
• Rahvusvaheline küberjulgeolekufoorum Lille'is jaanuari viimastel päevadel.

Veebruar ei jää ka vahele, Pariisis toimub Rahvusvahelise Andmekaitseametnike Assotsiatsiooni (IAPP) korraldatud "intensiivne andmekaitse" konverents.

Paljude käsitletud teemade hulgast paistavad silma kaks: näotuvastust puudutavate arutelude ägenemine ning väga väikeste ja keskmise suurusega ettevõtete (VKEde) eriolukord seoses isikuandmete kaitse üldmäärusega.

Näotuvastus on küsimus

Jaanuari lõpus süütas süütenööri Euroopa Komisjoni valges raamatus esitatud hüpotees, et moratoorium näotuvastuse kohta avalikes kohtades.

See dokument ei olnud mustandi staadiumis levitamiseks mõeldud ning komisjon on sellest ajast alates teatanud, et loobub moratooriumi võimalusest ja seab esikohale muud reguleerimisviisid.

Ta esitleb oma tehisintellekti käsitlevat ettekannet 19. veebruaril.

Idee reguleerida rangemalt või isegi keelata teatud kohtades inimeste automaatne tunnustamine, on jõudmas nii reguleerivate asutuste hulka kui ka era- ja avalikusse sektorisse ning isegi väljaspool Euroopat.

Sellel teemal on muuhulgas sõna võtnud Euroopa andmekaitseinspektor ja Euroopa Nõukogu andmekaitsevolinik.

Euroopa Andmekaitsenõukogu (EDPB) käsitleb seda küsimust ka oma viimastes suunistes, mis võeti vastu jaanuari lõpus.

Üha rohkem linnu, näiteks San Francisco ja Cambridge, on selle tehnoloogia oma avalikes kohtades keelanud.

Andmete võimalikud kasutusviisid tekitavad sellist ebakindlust, et ka tehnoloogiahiiglased, näiteks Microsoft, nõuavad suuremat selgust.

Esitatud argumentide hulgas toome eriti esile diskrimineerimise riskid etnilise päritolu ja muude eelarvamuste põhjal, mis viivad liiga paljude „valepositiivsete” tulemusteni.

Täieliku jälgimise all oleva avaliku ruumi väljavaade tekitab küsimusi ka praeguste andmekogumisvõimaluste valguses: mõtleme Clearview andmebaasile, ettevõttele, mis salvestab kõigis sotsiaalvõrgustikes ligipääsetavaid nägusid, et neid USA õiguskaitseorganitele müüa, ja mis jõudis selle aasta alguses pealkirjadesse.

Samuti väärib esiletõstmist probleemi rahvusvaheline mõõde.

Selle tõestuseks on hiljutine Euroopa tasandil parlamendis esitatud küsimus Serbias välja töötatud projekti „Turvaline linn” kohta, mis põhineb Hiina näotuvastustehnoloogial. 

Väikeste ja keskmise suurusega ettevõtete (VKEde) olukord

Jaanuaris erinevatel üritustel toimunud arutelud tõid esile peamised väljakutsed, millega (väga) väikesed ja keskmise suurusega ettevõtted silmitsi seisavad.

Kui nad esindavad Euroopa majanduse suurimat osa, nad on kõige puudustkannatavamad oma IT-platvormi turvalisuse, pilveteenuste kasutamise, allhanke ja enesehindamisvahendite (auditite) kasutamisega seotud küsimuste lahendamisel.

Nende küsimustega silmitsi seistes, mitu algatust on ilmavalgust näinud. 

ENISA (Euroopa Liidu Küberturvalisuse Amet) käivitas 28. jaanuaril veebiplatvormi, et aidata ettevõtetel, eriti VKEdel, oma andmeid kaitsta.

Veebisaitide arendajate abistamiseks on olemas ka kaks algatust: CNILi juhend ja EDRI organisatsiooni juhend toetavad GDPR-ile vastavate veebisaitide arendamist.

Kuigi turvalise (ja ideaalis Euroopa) pilve valimine on endiselt keeruline, väärib märkimist Euroopa regulaatorite pingutused selles osas. Näiteks Microsoft muutis just Euroopa Andmekaitseinspektori ja Hollandi surve all Office 365 lepingutingimusi, et viia need vastavusse isikuandmete kaitse üldmäärusega.

Ja ka:

Prantsusmaal:

Nagu teada antud, avaldas CNIL 14. jaanuaril 2020 soovituse eelnõu, mis käsitlebküpsiste ja muude jälgimisvahendite kasutamine.

Selle eesmärk on selgitada nõusoleku saamise tingimusi ja see sisaldab konkreetseid näiteid internetikasutajatele saadetavate teadete kohta. Tekst on konsultatsiooniks avatud kuni 25. veebruarini.

Euroopas:

Seal Ühendkuningriigi lahkumine Euroopa Liidust sellel on tagajärjed andmeedastusele.

Sellegipoolest leidub 2020. aasta jooksul muutusi ei toimunud, üleminekuaasta, mille jooksul Euroopa Komisjon hindab Ühendkuningriigi pakutava kaitse taset, et võtta vastu võimalik piisavusotsus. 

ICO (Suurbritannia järelevalveasutus) ja CNILi pressiteated täpsustavad neid elemente.

Rahvusvaheline:

• USA Pärast 2020. aasta alguses jõustunud California tarbijate privaatsusseadus, on Washingtoni osariigi kord ette valmistada privaatsusseadus.

• Indoneesia : a andmekaitseseadus esitati parlamendile 28. jaanuaril. Selle uusim versioon, mis pärineb 6. detsembrist 2019 ja on suuresti inspireeritud GDPR-ist, kehtib nii avalikule kui ka erasektorile.

Meeldetuletuseks, nimekiri riikidest, mille seadusi Euroopa Liit peab piisavaks, hõlbustades seega andmete edastamist nendesse riikidesse, on saadaval siin.

• Andorra,
• Argentina,
• Kanada (äriorganisatsioonid),
• Fääri saared,
• Guernsey
• Iisrael,
• Mani saar,
• Jaapan,
• Jersey
• Uus-Meremaa,
• Šveits,
• Uruguay ja
• Ameerika Ühendriigid (piiratud Privaatsuskilbi raamistikuga)

Anne Christine Lacoste

Olivier Weber Avocati partner Anne Christine Lacoste on andmeõigusele spetsialiseerunud jurist; ta oli Euroopa Andmekaitseinspektori rahvusvaheliste suhete juht ja tegeles GDPR-i rakendamisega Euroopa Liidus.