Trump c. Slaughter : la fin des flux de données transatlantiques ?

30. juunil saatis digigigantide ja regulaatorite jaoks pinnuks silmas olev vabaühendus Noyb Euroopa Komisjonile kirja, milles palus tal ajastada Atlandi-ülese andmekaitseraamistiku (Data Privacy Framework ehk DPF) sulgemine.

Valitsusvälise organisatsiooni andmetel ei taga Ameerika Ühendriigid enam privaatsuse üle sõltumatut järelevalvet.

Kuigi president Trump oli juba vallandanud kaks kolmest “Privaatsus- ja kodanikuvabaduste järelevalvenõukogu” liikmest – see on 2004. aastal Kongressi loodud sõltumatu järelevalveorgan –, andis Ameerika Ühendriikide Ülemkohus kahtlemata surmahoobi Ameerika sõltumatule järelevalvesüsteemile.

Oma varasemat kohtupraktikat 180° võrra muutes otsustas kohus 29. juunil, et föderaalse kaubanduskomisjoni (FTC) sõltumatus on põhiseadusega vastuolus.

«Trump vs. Slaughter» kohtuasja otsus kuulub «unitaarse» teooria raamistikku, mille kohaselt peab president teostama võimu kõigi Ameerika täidesaatva võimu organite üle.

Selle doktriini kohaselt on Ameerika seadused, mis annavad erinevatele asutustele iseseisvuse, seega põhiseadusega vastuolus.

“Arvestades, et Euroopa Liit on oma privaatsuse järelevalveorganina suuresti toetunud FTC ’sõltumatule«, on kogu EL-USA andmekaitseraamistiku struktuur lihtsalt kokku varisenud.»

Noybi president Max Schrems lisab, et kuna Ameerika Ühendriigid avaldavad ELile endiselt märkimisväärset survet isikuandmete liikumise jätkamiseks, algatab tema valitsusväline organisatsioon lähikuudel ka kohtuasja, mille eesmärk on võimaldada Euroopa Liidu Kohtul (CJEU) kehtiv leping tühistada.

Seega võiks «Schrems III» kohtuotsus aktivisti saavutuste nimekirja täiendada.

Parlamendiliige ja CNIL-i liige Philippe Latombe saatis Euroopa Komisjonile ka kirja, milles taotles Atlandi-ülese lepingu tühistamist ja kutsus Prantsuse ettevõtteid üles rakendama suveräänseid andmehalduslahendusi.

Tuleb meeles pidada, et Euroopa Komisjoni otsus, mis tunnistab Ameerika Ühendriikide kehtestatud kaitseraamistiku piisavust, jääb jõusse seni, kuni komisjon või Euroopa Kohus selle kehtetuks kuulutab.

Kohtumenetlus võtab enne lõpliku otsuse langetamist tavaliselt kaks kuni kolm aastat.

Komisjon ei pruugi aga sellise menetluse tulemusi oodata: meedia küsimustele vastuseks on ta juba teatanud, et kavatseb analüüsida oma piisavusotsuse kehtivust, arvestades FTC sõltumatuse puudumist.

Taani andmekaitseamet märkis 1. juuli avalduses lisaks, et Ameerika Ühendriikide Ülemkohtu otsusel võivad olla eriti laialdased tagajärjed, mis mõjutavad mitte ainult andmekaitseraamistikul (DPF) põhinevaid edastusi, vaid ka muudel õiguslikel alustel, näiteks tüüplepingute alusel tehtud edastusi.

Ametiasutus julgustab andmetöötlejaid üle vaatama oma hinnangu vastuvõtjariigi poolt tagatud kaitsetaseme kohta andmeedastuse mõjuhinnangu kontekstis.

Eriti oluline on kontrollida, kas ametiasutuste sõltumatu kontrolli eeldused on endiselt täidetud.

Andmetöötlejatele ja andmekaitseametnikele annab see uudis võimaluse ajakohastada oma Atlandi-üleste andmeedastuste, sealhulgas SaaS-i, pilve- või tehisintellekti tööriistade kaardistamist, et ümber hinnata oma õiguslikku alust ja teha vajaduse korral kindlaks võimalikud alternatiivid.

Prantsusmaal

Pärast avalikku konsultatsiooni avaldas CNIL 30. juunil oma soovitused ühendatud sõidukite (autod, jalgrattad, tõukerattad jne) asukohaandmete kasutamise kohta spetsialistide poolt.

Selle eesmärk on tugevdada õiguskindlust ja pakkuda kasutajatele suuremat läbipaistvust.

19. juunil uuendatud teabelehel kordab CNIL oma olulisi soovitusi digitehnoloogia kasutamise kohta ettevõtluses.

See loetleb 12 soovitust ja julgustab andmetöötlejaid valitsuse veebisaidi kaudu diagnoosi tegema.

Samuti täpsustab see 10. juuni väljaandes reegleid, mida tuleb järgida potentsiaalsete ja olemasolevate klientidega elektroonilise suhtluse korral.

3. juulil avaldas CNIL oma uuringu tulemused, mille eesmärk oli analüüsida andmekaitseametnike rolli arengut tehisintellekti (AI) arengu valguses.

Teda huvitavad tehisintellekti juhtimine organisatsioonides, uued regulatiivsed väljakutsed, mis on seotud isikuandmete kaitse üldmääruse ja Euroopa tehisintellekti regulatsiooni vahelise seosega, samuti andmekaitseametnike vajadused oskuste, koolituse ja tööriistade osas.

Kuigi andmekaitseametnik jääb tehisintellekti projektides isikuandmete kaitse tagamisel võtmeisikuks, ei ole ta ette nähtud seda nõuetele vastavust üksi haldama ning tal puudub veel regulatsioonist põhjalik arusaam.

CNIL kavatseb oma soovitusi ja spetsialistidele pakutavat tuge nende uute väljakutsetega kohandada ning viitab oma veebisaidil juba olemasolevatele tööriistadele.

Teisipäeval, 16. juunil teatas peaminister sotsiaalmeediasse postitatud videos 655 miljoni euro suurusest täiendavast avalikust investeeringust programmi „France 2030“ kaudu, et kiirendada tehisintellekti arengut Prantsusmaal.

«Üks sümboolsemaid teadaandeid puudutab sisejulgeoleku peadirektoraati (DGSI), mis lõpetab partnerluse Ameerika andmeanalüüsi hiiglase Palantiriga.

Selle välismaise tehnoloogia asendamiseks valis DGSI Prantsuse ettevõtte ChapsVision.

Seda muret on hiljuti süvendanud USA administratsiooni otsus piirata riigi julgeoleku nimel välisriikide kodanike juurdepääsu teatud täiustatud tehisintellekti mudelitele.

Samuti soovib valitsus kiirendada tehisintellekti kasutuselevõttu halduses.

Ligikaudu miljoni riigiteenistuja seas võetakse järk-järgult kasutusele suveräänne vestlusassistent.»

Samal teemal katkestati 23. juunil rahandusministeeriumi peadirektoraadis hiinakeelse mudeli testimine "juhtivate" või "kallutatud" vastuste tõttu.

Vestlusrobot oli mõeldud kõrgemate ametnike abistamiseks nende igapäevastes ülesannetes, sealhulgas konfidentsiaalsete või tundlike andmete töötlemisel.

Kolmapäeval paigaldati Prantsuse idufirma Mistral AI uus mudel.

Alates 2027. aastast lõpetab Prantsuse küberturvalisuse amet (ANSSI) selliste turvatoodete sertifitseerimise, millel puuduvad kvantarvutitele vastupidavad krüpteerimismehhanismid.

See nõue puudutab eelkõige tooteid, mis on ette nähtud tundlikele sektoritele, nagu kaitsetööstus, relvastus ja avalik haldus.

Ettevõtetel on kuni 2030. aastani aega osta ainult niinimetatud "kvanttohutuid" lahendusi.

Postkvantkrüptograafiale ülemineku kiirendamine oli ka G7 küberturvalisuse alarühma töö keskmes, mis kohtus Prantsusmaa eesistumise ajal juuni alguses.

G7 riikide andmekaitseasutused kohtusid CNIL-i kutsel 25. ja 26. juunil Pariisis ka Prantsusmaa G7 eesistumise raames.

Nad võtsid vastu deklaratsiooni privaatsust austavate vanuse kontrollimise mehhanismide kohta ning dokumendi alaealiste privaatsust austavate ühendatud objektide arendamise kohta.

Euroopas

Euroopa institutsioonid ja organid

29. juunil andis Euroopa Liidu Nõukogu lõpliku heakskiidu tehisintellekti reeglite lihtsustamisele ja sujuvamaks muutmisele, mis on sätestatud koondmääruses.

Kõrge riskiga süsteemidega seotud eeskirjade kohaldamine lükatakse edasi 2. detsembrini 2027 eraldiseisvate kõrge riskiga tehisintellekti süsteemide puhul ja 2. augustini 2028 toodetesse integreeritud kõrge riskiga tehisintellekti süsteemide puhul.

Tekst lisab tehisintellekti määrusele sätte, mis keelab tehisintellekti tegevused, mis on seotud seksuaalse ja intiimse sisu või lastepornograafia loomisega ilma nõusolekuta.

Alates 2026. aasta detsembrist keelustatakse ka tehisintellekti süsteemid, mis genereerivad alasti pilte päris inimestest või eemaldavad olemasolevatelt fotodelt riideid, et paljastada intiimseid kehaosi.

Uue määrusega lükatakse 2. augustile 2027 tähtaega, mille jooksul pädevad asutused peavad riiklikul tasandil looma tehisintellektile pühendatud regulatiivsed «liivakastid», ning lühendatakse teenusepakkujatele kunstlikult loodud sisuga seotud läbipaistvuslahenduste rakendamiseks antud tähtaega 6 kuult 3 kuule, uueks tähtajaks seatakse 2. detsember 2026.

Politico nähtud dokumendi kohaselt üritab Euroopa Parlamendi president Roberta Metsola vastu võtta vastuolulist seadust veebipõhise lastepornograafia (CSAM) filtreerimise kohta, mille tema enda parlament eelmise aasta märtsis täiskogu istungil tagasi lükkas.

President palus nõukogus kogunenud liikmesriikidel heaks kiita eelnõu, mis lubaks tehnoloogiaplatvormidel oma teenuseid vabatahtlikult lastepornograafia suhtes skannida – küsimus, mis on ägeda vaidluse objektiks: politsei ja mõned laste õiguste eest võitlejad ning mitmed Euroopa Komisjoni liikmed väidavad, et õigusaktide puudumine võimaldab kurjategijatel ja pedofiilidel internetis karistamatult tegutseda.

Privaatsuse kaitsjad ja turvaeksperdid usuvad samal ajal, et need ettepanekud võivad viia vastuvõetamatu massilise jälgimiseni ja krüpteerimise lõppemiseni.

18. juunil 2026 selgitas Euroopa Kohus oma otsuses C-484/24 – NTH Haustechnik, et ebaseaduslikult saadud isikuandmeid ei tohiks automaatselt kohtumenetlusest välja jätta.

Kohtud võivad neid kasutada, kui see on rangelt vajalik ja proportsionaalne nende ülesannete täitmisega, järgides samal ajal isikuandmete kaitse üldmääruse põhimõtteid, eelkõige andmete minimeerimise põhimõtet.

See võimalus ei muuda aga esialgset teabe kogumist seaduslikuks ega vabasta selle autorit andmekaitse-eeskirjade võimalikest rikkumistest.

Euroopa Andmekaitsenõukogu (EDPB) võttis 10. juunil vastu andmetega seotud rikkumisest teatamise näidise.

See mudel on mõeldud peamiselt APD-de poolt arvutitööriista abil rakendamiseks.

Mudel on avaliku konsultatsiooni all, pakkudes seega sidusrühmadele võimalust jagada oma kommentaare ja tagasisidet selle sisu kohta kuni 5. augustini.

Alates 3. augustist hakkab Google reklaamide mõõtmiseks ja isikupärastamiseks kasutama Euroopa Majanduspiirkonnas, Ühendkuningriigis ja Šveitsis asuvate internetikasutajate IP-aadresse.

Kuigi Google kogub neid andmeid juba tehnilistel põhjustel, on nende kasutamine arenemas: IP-aadressi saab nüüd kasutada seadmete tuvastamiseks reklaami sihtimise eesmärgil.

See GDPR-iga reguleeritud tava nõuab kasutaja nõusolekut, mis tuleks integreerida juba kasutatavatesse reklaamieelistuste ja küpsiste haldamise mehhanismidesse.

Uudised Euroopa Liidu liikmesriikidest.

Belgia ja Hispaania andmekaitseasutused avaldasid 18. juunil ühiselt videomängusektori soovitused ja parimad tavad.

See koostöö tuleneb ametivõimude poolt tuvastatud vajadusest reguleerida sektorit, mis hõlmab üle maailma enam kui 3 miljardit kasutajat ja kasutab pealetükkivaid tehnoloogiaid.

Dokumendis analüüsitakse videomängudes kõige levinumaid isikuandmete töötlemise tegevusi, tuvastatakse nendega kaasnevad ohud ja riskid ning pakutakse välja soovitusi ja parimaid tavasid.

Horvaatias trahvis APD kinnisvarabürood klientide andmete säilitamise eest väljaspool töötlemise eesmärki, isikut tõendavate dokumentide ja pangakaartide koopiate seadusliku aluseta säilitamise ning oma töötajate ebapiisava isikuandmete töötlemise koolituse eest.

Hispaania andmekaitseamet (APD) avaldas 8. juunil juhised kaamerate kasutamise kohta hooldekodudes hoolduse ja privaatsuse ühitamiseks.

Samuti määras ettevõte Vodafone Españale 1 050 000 euro suuruse trahvi pärast seda, kui kolmandal osapoolel õnnestus turvakontrollidest mööda hiilida, et saada kliendiarve, mis sisaldas volitamata e-posti aadressi, ja luua petturlikult kaebuse esitaja nimele registreeritud teine mobiilsideliin.

Lõpuks trahvis ettevõte CaixaBanki 500 000 euroga süsteemsete andmekaitsevigade eest, mis olid tingitud korduvatest turvarikkumistest.

Ametiasutus palus pangal konkreetselt parandada oma rikkumiste avastamise võimekust ja tugevdada protseduure intsidendi korral asjaomaste inimeste ja andmete tuvastamiseks.

Iirimaa andmekaitseamet (DPA) määras riiklikule tervishoiuteenistusele Health Service Executive (HSE) 300 000 euro suuruse trahvi pärast 2018. aasta lunavararünnakut, mis kahjustas ligikaudu 84 000 patsiendi isikuandmeid.

Juurdluse tulemusel jõuti järeldusele, et HSE ei olnud rakendanud piisavaid tehnilisi ja korralduslikke turvameetmeid, tal puudus isikuandmete kaitse üldmäärusele vastav dokumentatsioon ning ta ei olnud oma alltöövõtjate üle nõuetekohast järelevalvet teinud.

Lisaks trahvile kohustas andmekaitseamet (DPC) töötervishoiu ja tööohutuse ministeeriumi (HSE) andmeturbepoliitikat ja -protseduure jätkusuutlikult tugevdama.

Norra andmekaitseamet (APD) määras Elkjøpile 20 miljoni Norra krooni suuruse haldustrahvi, eelkõige kehtiva nõusoleku puudumise eest isikuandmete töötlemiseks lojaalsusklubi kontekstis, ebapiisavate hinnangute eest uute töötlemiseesmärkide kohta ja andmesubjektide taotlustele isikuandmete kaitse üldmääruses sätestatud tähtaegade jooksul vastamata jätmise eest.

Rahvusvaheliselt

Suurbritannias on uurimise all Derbyshire'i politseinik, keda süüdistatakse tehisintellekti kasutamises tõendite fabritseerimiseks mitmes kohtuasjas.

Võimud vaatavad läbi potentsiaalselt asjakohaseid toimikuid, samal ajal kui ohvitser on operatiivülesannetest vabastatud.

See juhtum, mis võib kujutada endast tõsist õigusemõistmise väärkasutamist, leiab aset ajal, mil Briti politseijõud suurendavad tehisintellekti kasutamist, sütitades uuesti arutelu riskide ja nende tehnoloogiate range reguleerimise vajaduse üle.

Mitmelt politseiosakonnalt on hiljuti palutud faktivigade tõttu peatada tehisintellekti teatud kasutusviisid, eriti kohtutele dokumentide koostamisel.

Ka Ühendkuningriigis on alates 19. juunist Briti andmekaitseseadusandlusele alluvad organisatsioonid kohustatud kehtestama korra, mis võimaldab füüsilistel isikutel esitada kaebusi oma isikuandmete kohta.

Enne teabevoliniku bürooga ühenduse võtmist peavad üksikisikud oma kaebuse esitama asjaomasele organisatsioonile.

Hiinas jõustuvad 15. juulil tehisintellektil põhinevate antropomorfsete interaktiivsete teenuste haldamisega seotud ajutised meetmed.

See määrus reguleerib tehisintellektil põhinevate virtuaalsete kaaslaste ja emotsionaalse toe robotite kiiresti laienevat sektorit.

Nende teenuste pakkujad peavad kasutajaid selgelt teavitama sellest, et nad suhtlevad tehisintellektiga, kehtestama mehhanismid emotsionaalse sõltuvuse vältimiseks, tuvastama stressi- või riskiolukordi, kaitsma alaealisi ja piirama nende juurdepääsu virtuaalsetele kaaslastele.

Samuti peavad nad järgima juhtimisnõudeid, näiteks registreerima oma algoritmid, teatud juhtudel tegema turvahinnanguid ning rakendama andmekaitse- ja riskijuhtimismeetmeid.

Ibero-Ameerika andmekaitsevõrgustik (RIPD) on vastu võtnud viitedokumendi, mille eesmärk on tugevdada neuroandmete töötlemise suhtes kohaldatavaid kaitsemeetmeid. Need andmed pärinevad ajutegevust mõõta või järeldada suutvatest tehnoloogiatest.

Tekstis soovitatakse nende andmete tugevdatud kaitset, nende kasutamise ja toimimise suuremat läbipaistvust ning piiranguid või isegi keelde teatud kasutusviiside puhul, mida peetakse põhiõigustega vastuolus olevaks, eriti kui nende eesmärk on käitumisega manipuleerimine või haavatavate inimeste ärakasutamine.

Anthropic on oma kaks kõige võimsamat tehisintellekti mudelit dekomisjoneerinud.

Viidates "riikliku julgeoleku" muredele, nõudis Washington, et tehisintellektile spetsialiseerunud Ameerika idufirma piiraks juurdepääsu Claude Fable 5-le ja Mythos 5-le ainult Ameerika kodanikele.

Anthropici sõnul on seda taotlust võimatu ellu viia. 22. mail teatas Anthropic oma Glasswingi projektist, öeldes, et nende küberturvalisuse tehisintellekti mudel Mythos on tuvastanud enam kui 10 000 haavatavust laialdaselt kasutatavas avatud lähtekoodiga tarkvaras ja projektides.