Uusi vuosi, katsaus ja tulevaisuudennäkymät.

Uusi vuosi, katsaus ja tulevaisuudennäkymätVuoden jälkeen, jota jotkut kutsuvat kauhun vuodeksi (annus horribilis), monet ottavat vuoden 2021 vastaan toivona muutoksesta. 

On totta, että viime kuukaudet ovat koetelleet yhteiskuntiemme selviytymiskykyä ennennäkemättömällä tavalla.

Pandemian vaikutus terveyteemme, mutta myös poliittisiin järjestelmiimme ja perusoikeuksiimme on kaikkea muuta kuin vähäpätöinen.

Tietosuojaviranomaiset ovat omistaneet suuren osan ajastaan virukseen liittyvien keskeisten ja hyvin monimuotoisten alueiden tukemiseen ja valvontaan:

• Lääketieteellinen tutkimus,
• Väestönvalvonta droneilla,
• Etätyö
• Etäopiskelu,
• Covid-vastaisten sovellusten seuranta,
• Rokotustiedot,

Ja laajempi kysymys viranomaisten suorittamasta terveystietojen käsittelystä lääketieteellisen viitekehyksen ulkopuolella.

Tämä erityinen huomio pandemian hallinnan esiin nostamiin ongelmiin ei kuitenkaan ole estänyt CNIL:ää hyväksymästä useita merkittäviä pakotteita, mukaan lukien kaksi verkkojättiläisiä Googlea ja Amazonia vastaan, joiden arvo on useiden kymmenien miljoonien eurojen suuruinen.

Muille toimijoille on määrätty pienempiä sakkoja, jotka on mukautettu niiden liikevaihtoon, ja nämä seuraamukset ovat vaikuttaneet sekä suuriin kaupallisiin toimijoihin (ks. joulukuun pääkirjoitus Carrefourista) että erittäin pieniin yrityksiin: kaksi henkilöä työllistävä ja kaupallisten sähköpostien lähettämiseen erikoistunut yritys on juuri saanut 7 300 euron sakon erityisesti suostumuksen hankkimisvelvollisuuden noudattamatta jättämisestä. Sakko on 1 000 euroa viivästyspäivää kohden, jos velvoitteita ei noudateta kahden kuukauden kuluessa.

Emme uskalla ennustaa, mitä uusi vuosi tuo tullessaan. Tietosuojan sidosryhmien tärkeimmät osa-alueet ja prioriteetit tuleville kuukausille on kuitenkin edelleen mahdollista tunnistaa.

Niin, Terveystietojen käsittelyn ja siihen liittyvien valvontatoimenpiteiden lisäksi todetaan, että etiikka, tekoälyn kehittäminen ja uudet teknologiat ovat edelleen prioriteettikysymyksiä..

Tätä Euroopan tietosuojaneuvosto (EDPB) korostaa vuosien 2021–2023 strategiassaan, joka kohdistuu erityisesti

• Biometriset tiedot,
• Profilointi,
• Mainosteknologiat,
• Pilvipalvelut ja
• Lohkoketju.

Komitea ilmoittaa myös haluavansa osoittaa suuntaviivoja mikro- ja pk-yritysten tukemiseksi paitsi tietosuoja-asiantuntijoille myös suoraan ja konkreettisemmin rekisterinpitäjille.

Digitaalisten palveluiden alan yritysten keskittyminen on myös eurooppalaisten viranomaisten (ks. jäljempänä "Eurooppa") tähtäimessä, samoin kuin tiedonsiirrot Euroopan ja muun maailman välillä.

Euroopan unionin tuomioistuimen Schrems II -tapauksessa antaman päätöksen jälkeen kiinnitetään entistä enemmän huomiota yhtäältä kolmansissa maissa voimassa oleviin valvontajärjestelmiin ja -lakeihin ja toisaalta siirtojen yhteydessä toteutettaviin varotoimiin, joihin kuuluu tietojen salaus.

Lisätään vielä tiedonsiirtojen puitteissa, että Vaikka Iso-Britannia on eronnut Euroopan unionista, data voi edelleen liikkua vapaasti Ison-Britannian ja EU:n välillä seuraavan kuuden kuukauden ajan. GDPR:ää sovelletaan siellä edelleen siirtymäkauden aikana.

Siirtojärjestelmä riippuu sitten Euroopan komission hyväksymästä riittävyyspäätöksestä.

Muussa tapauksessa takuita (kuten sopimuslausekkeita) on otettava ennen minkään siirron harkitsemista.

Viime kuukausien mullistuksista huolimatta ja kenties osittain juuri näiden mullistusten ansiosta, jotka ovat entisestään lisänneet uusien teknologioiden käyttöä ja virtuaalimaailman kehitystä, perusoikeuksien turvaaminen on tärkeämpää kuin koskaan.

Lyödään vetoa, että pystymme vastaamaan meitä odottaviin teknologisiin ja inhimillisiin haasteisiin.

Ja myös

Ranska:

• Valtioneuvosto vahvisti 22. joulukuuta antamallaan määräyksellä poliisiprefektin päätöksen välittömän keskeyttämisen, joka koskee droonien käyttö yleisillä teillä järjestettävien mielenosoitusten tai kokoontumisten yhteydessä.

Valtioneuvosto määrää drone-valvonnan lopetettavaksi näissä mielenosoituksissa tai kokoontumisissa, kunnes on hyväksytty teksti, joka valtuuttaa henkilötietojen käsittelyjärjestelmän perustamisen.

Jää nähtäväksi, pystyykö ehdotettu maailmanlaajuinen turvallisuuslaki oikeuttamaan tällaisen droonien käytön.

Kiireellisyyttä arvioidessaan CE mainitsee tässä yhteydessä "kiistanalaisten valvontatoimien kohteeksi todennäköisesti joutuvien ihmisten merkittävän määrän ja niiden todennäköisesti aiheuttaman loukkauksen mielenosoitusvapaudelle", sekä sen, että "ministeri ei esitä mitään näyttöä siitä, että yleisen turvallisuuden takaamista julkisilla teillä järjestettävien ihmisten kokoontumisten aikana ei voitaisi täysin saavuttaa nykyisissä olosuhteissa ilman dronejen käyttöä".

• Mitä tulee kasvojentunnistusValtioneuvosto puolestaan validoi 4. marraskuuta tekemällään päätöksellä biometrisiin tietoihin perustuvan verkkotunnistautumisen, joka mahdollistaa pääsyn tiettyihin julkishallinnon etäpalveluihin (Alicem).

CE katsoo erityisesti, että kerätyt tiedot ovat tarpeellisia ja oikeasuhtaisia käsittelyn tarkoitukseen nähden (biometriset tiedot tuhotaan sähköisten tunnisteiden luomisen jälkeen) ja käyttäjillä säilyy mahdollisuus käyttää palveluita erillisen tunnisteen avulla.

• CNIL sakotti Amazon Europe Corea 7. joulukuuta 35 miljoonalla eurolla evästeiden talletus sivustonsa kävijöiden tietokoneille ilman etukäteen annettua suostumusta tai tyydyttäviä tietoja.

Eurooppa:

• Lehdistö on kommentoinut laajasti Euroopan komission julkaisemaa ehdotusta digitaalisten palvelujen sääntely.

Jos Euroopan parlamentti ja neuvosto hyväksyvät tämän uuden lainsäädäntökehyksen, se johtaa EU:n sähköisen kaupankäynnin direktiivin merkittävään päivitykseen, jonka tavoitteena on parantaa kuluttajien suojaa ja edistää tasapainoisempia digitaalisia markkinoita.

Teksti luo merkittäviä velvoitteita "teknologia"alan toimijoille, erityisesti alustoille, kuten Googlelle tai Facebookille.

Näiden on otettava käyttöön tiedotusta, raportointia, tarkastusta, riskienhallintaa ja yhteistyötä koskevat toimenpiteet.

Perustetaan Euroopan digitaalisten palvelujen neuvosto, jonka rooli on verrattavissa Euroopan tietosuojaneuvoston rooliin ja sitä täydentää.

Näiden velvoitteiden tulisi tulla voimaan aikaisintaan vuonna 2023.

• Saksassa mies on tuomittu murhasta Amazonin Alexa-ääniavustajalla tehdyn nauhoituksen perusteella.

Mies oli käyttänyt ääniavustajaa rikospaikalla, mikä vahvisti hänen läsnäolonsa siellä.

Amazon toimitti tuomareille heidän pyynnöstään ulkomailla oleville palvelimille tallennetut tallenteet.

Riippumatta siitä, käytetäänkö tällaisia tallenteita laillisiin tarkoituksiin, CNIL on antanut selvityksen ääniavustajien suorittamasta tietojenkäsittelystä. Selvitys on saatavilla sen verkkosivuilla.

Kansainvälinen:

• Venäjä Facebook on maksanut neljän miljoonan ruplan (viidenkymmenentuhannen dollarin) sakon kieltäytyessään paikantamasta venäläisten käyttäjiensä tietoja Venäjältä, mikä on vaatimus, jota sovelletaan kaikkiin uusien teknologioiden alalla toimiviin ulkomaisiin yrityksiin.

Venäjän viranomaiset estivät aiemmin sosiaalisen verkoston LinkedInin samoista syistä.

• Siellä Kiina valmistelee biometrian ja kasvojentunnistuksen käytön sääntelemistä henkilötietolainsäädännössään.

Lainsäädäntöasioiden valiokunnan tiedottajan mukaan, jos tavoitteena on suhteellisuus- ja tarpeellisuusperiaatteiden noudattaminen tietojenkäsittelyssä, "monia vaihtoehtoja on edelleen avoimia".

Anne Christine Lacoste

Olivier Weber Avocatin osakas Anne Christine Lacoste on tietosuojalainsäädäntöön erikoistunut lakimies. Hän toimi Euroopan tietosuojavaltuutetun kansainvälisten suhteiden päällikkönä ja työskenteli GDPR:n täytäntöönpanon parissa Euroopan unionissa.