Trump c. Slaughter : la fin des flux de données transatlantiques ?

Digitaalisten jättiläisten ja sääntelyviranomaisten riesa Noyb-kansalaisjärjestö lähetti 30. kesäkuuta kirjeen Euroopan komissiolle pyytäen sitä aikatauluttamaan transatlanttisen tietosuojakehyksen (Data Privacy Framework eli DPF) purkamisen.

Kansalaisjärjestön mukaan Yhdysvallat ei enää takaa minkäänlaista riippumatonta valvontaa yksityisyyden suojaan liittyen.

Vaikka presidentti Trump oli jo erottanut kaksi kolmesta "Privacy and Civil Liberties Oversight Boardin" jäsenestä. Lautakunta on kongressin vuonna 2004 perustama riippumaton valvontaelin, Yhdysvaltain korkein oikeus on epäilemättä juuri antanut kuoliniskun amerikkalaiselle riippumattomalle valvontajärjestelmälle.

Korkein oikeus muutti aiempaa oikeuskäytäntöään täysin päättämällä 29. kesäkuuta, että Yhdysvaltain liittovaltion kauppakomission (FTC) riippumattomuus oli perustuslain vastainen.

"Trump v. Slaughter" -päätös kuuluu "unitaarisen" teorian viitekehykseen, jonka mukaan presidentin on käytettävä valtaa kaikkiin Amerikan toimeenpaneviin elimiin.

Tämän opin mukaan amerikkalaiset lait, jotka myöntävät useille virastoille itsenäisyyden, ovat siksi perustuslain vastaisia.

“Koska Euroopan unioni on luottanut vahvasti FTC:n ’itsenäisyyteen« yksityisyyden valvojana, koko EU:n ja Yhdysvaltojen välinen tietosuojakehys on juuri romahtanut.»

Noybin puheenjohtaja Max Schrems lisää, että Yhdysvaltojen painostaessa edelleen EU:ta huomattavasti henkilötietojen virran varmistamiseksi, hänen kansalaisjärjestönsä aikoo myös nostaa oikeustoimia tulevina viikkoina tavoitteenaan, että Euroopan unionin tuomioistuin (CJEU) voi mitätöidä nykyisen sopimuksen.

"Schrems III" -päätös voisi siis täydentää aktivistin saavutusten listan.

Kansanedustaja ja CNIL:n jäsen Philippe Latombe lähetti myös Euroopan komissiolle kirjeen, jossa hän pyysi transatlanttisen sopimuksen peruuttamista ja kehotti ranskalaisia yrityksiä ottamaan käyttöön itsenäisiä tiedonhallintaratkaisuja.

On muistettava, että Euroopan komission päätös, jossa Yhdysvaltojen käyttöön ottaman suojakehyksen riittävyys tunnustetaan, on voimassa, kunnes komissio tai Euroopan unionin tuomioistuin julistaa sen pätemättömäksi.

Hovioikeuden käsittely kestää yleensä kahdesta kolmeen vuotta ennen lopullisen päätöksen antamista.

Komissio ei kuitenkaan välttämättä odota tällaisen menettelyn tulosta: se on jo ilmoittanut tiedotusvälineiden kysymyksiin vastatessaan aikovansa analysoida tietosuojan riittävyyttä koskevan päätöksensä pätevyyttä, kun otetaan huomioon FTC:n riippumattomuuden puute.

Tanskan tietosuojaviranomainen ilmoitti 1. heinäkuuta antamassaan lausunnossa, että Yhdysvaltain korkeimman oikeuden päätöksellä voi olla erityisen laajoja vaikutuksia, jotka voivat vaikuttaa paitsi tietosuojalainsäädäntöön perustuviin siirtoihin myös muiden oikeusperustojen, esimerkiksi vakiosopimusten, kautta tehtyihin siirtoihin.

Viranomainen kannustaa rekisterinpitäjiä tarkistamaan vastaanottajamaan takaaman tietosuojan tason arvionsa siirtovaikutusten arvioinnin yhteydessä.

Erityisen tärkeää on varmistaa, täyttyvätkö viranomaisten riippumattoman valvonnan edellytykset edelleen.

Rekisterinpitäjille ja tietosuojavastaaville tämä uutinen tarjoaa mahdollisuuden päivittää transatlanttisten tiedonsiirtojen, mukaan lukien SaaS-, pilvi- tai tekoälytyökalujen, kartoitusta, arvioida uudelleen oikeusperustaansa ja tunnistaa tarvittaessa mahdollisia vaihtoehtoja.

Ranskassa

Julkisen kuulemisen jälkeen CNIL julkaisi 30. kesäkuuta suosituksensa ammattilaisten käyttämistä verkkoon kytketyistä ajoneuvoista (autot, polkupyörät, skootterit jne.) peräisin olevista sijaintitiedoista.

Sen tavoitteena on vahvistaa oikeusvarmuutta ja tarjota käyttäjille enemmän läpinäkyvyyttä.

CNIL toistaa 19. kesäkuuta päivitetyssä tiedotteessa keskeiset suosituksensa digitaalisen teknologian käytöstä liiketoiminnassa.

Siinä luetellaan 12 suositusta ja kannustetaan rekisterinpitäjiä suorittamaan diagnoosi hallituksen verkkosivuston kautta.

Se myös määrittelee 10. kesäkuuta päivätyssä julkaisussa säännöt, joita on noudatettava sähköisessä viestinnässä potentiaalisten ja nykyisten asiakkaiden kanssa.

CNIL julkaisi 3. heinäkuuta kyselytutkimuksensa tulokset, jonka tarkoituksena oli analysoida tietosuojaviranomaisten roolin kehitystä tekoälyn (AI) kehityksen myötä.

Hän on kiinnostunut tekoälyn hallinnasta organisaatioissa, uusista sääntelyhaasteista, jotka liittyvät GDPR:n ja eurooppalaisen tekoälysääntelyn niveltymiseen, sekä tietosuojavastaavien tarpeista osaamisen, koulutuksen ja työkalujen suhteen.

Vaikka tietosuojavastaava on edelleen keskeinen toimija tekoälyprojekteissa henkilötietojen suojan varmistamisessa, hänen ei ole tarkoitus hallita tätä vaatimustenmukaisuutta yksin, eikä hänellä ole vielä perusteellista ymmärrystä asetuksesta.

CNIL aikoo mukauttaa ammattilaisille suunnattuja suosituksiaan ja tukeaan näihin uusiin haasteisiin ja viittaa verkkosivustollaan jo saatavilla oleviin työkaluihin.

Tiistaina 16. kesäkuuta pääministeri ilmoitti sosiaalisessa mediassa julkaisemallaan videolla 655 miljoonan euron lisäinvestoinnista Ranska 2030 -ohjelman kautta tekoälyn kehityksen vauhdittamiseksi Ranskassa.

«Yksi symbolisimmista ilmoituksista koskee sisäisen turvallisuuden pääosastoa (DGSI), joka lopettaa kumppanuutensa amerikkalaisen data-analyysijätti Palantirin kanssa.

Tämän ulkomaisen teknologian korvaamiseksi DGSI valitsi ranskalaisen ChapsVision-yrityksen.

Tätä huolta on viime aikoina vahvistanut Yhdysvaltain hallinnon päätös rajoittaa ulkomaalaisten pääsyä tiettyihin edistyneisiin tekoälymalleihin kansallisen turvallisuuden nimissä.

Hallitus haluaa myös nopeuttaa tekoälyn käyttöönottoa hallinnossa.

Noin miljoonan valtion virkamiehen käyttöön otetaan vähitellen itsenäisen keskusteluavustajapalvelun käyttö.»

Samasta aiheesta kiinankielisen mallin testaus valtiovarainministeriön pääosastolla keskeytettiin 23. kesäkuuta "johtavien" tai "puolueellisten" vastausten vuoksi.

Chatbotin tarkoituksena oli auttaa korkeita virkamiehiä heidän päivittäisissä tehtävissään, mukaan lukien luottamuksellisten tai arkaluonteisten tietojen käsittely.

Ranskalaisen startup-yrityksen Mistral AI:n uusi malli asennettiin keskiviikkona.

Vuodesta 2027 alkaen Ranskan kansallinen kyberturvallisuusvirasto (ANSSI) lopettaa sellaisten tietoturvatuotteiden sertifioinnin, joissa ei ole kvanttitietokoneille kestäviä salausmekanismeja.

Tämä vaatimus koskee erityisesti tuotteita, jotka on tarkoitettu herkille aloille, kuten puolustus-, ase- ja julkishallinnon aloille.

Yrityksillä on vuoteen 2030 asti aikaa ostaa vain niin sanottuja "kvanttiturvallisia" ratkaisuja.

Postkvanttikryptografiaan siirtymisen nopeuttaminen oli myös G7-maiden kyberturvallisuusalaryhmän työn keskiössä, joka kokoontui Ranskan puheenjohtajakaudella kesäkuun alussa.

G7-maiden tietosuojaviranomaiset tapasivat myös Pariisissa 25. ja 26. kesäkuuta CNIL:n kutsusta osana Ranskan G7-puheenjohtajakautta.

He hyväksyivät julistuksen yksityisyyttä kunnioittavista ikävahvistusmekanismeista sekä asiakirjan alaikäisten yksityisyyttä kunnioittavien verkkoon kytkettyjen esineiden kehittämisestä.

Euroopassa

Euroopan unionin toimielimet ja elimet

EU:n neuvosto antoi 29. kesäkuuta lopullisen hyväksyntänsä Omnibus-asetuksessa säädetylle tekoälysääntöjen yksinkertaistamiselle ja virtaviivaistamiselle.

Korkean riskin järjestelmiin liittyvien sääntöjen soveltaminen lykätään 2. joulukuuta 2027 asti itsenäisten korkean riskin tekoälyjärjestelmien osalta ja 2. elokuuta 2028 asti tuotteisiin integroitujen korkean riskin tekoälyjärjestelmien osalta.

Teksti lisää tekoälyasetukseen säännöksen, joka kieltää tekoälyn käytännöt, jotka liittyvät suostumuksetta tapahtuvaan seksuaalisen ja intiimin sisällön tai lapsipornografian tuottamiseen.

Myös tekoälyjärjestelmät, jotka luovat kuvia oikeista ihmisistä alastomina tai poistavat vaatteita olemassa olevista valokuvista paljastaakseen intiimejä osia, kielletään joulukuusta 2026 alkaen.

Uusi asetus lykkää määräaikaa, jonka kuluessa kansallisen tason toimivaltaisten viranomaisten on perustettava tekoälylle omistetut sääntelyyn liittyvät «hiekkalaatikot», 2. elokuuta 2027 asti, ja lyhentää palveluntarjoajille myönnettyä aikaa keinotekoisesti luotua sisältöä koskevien läpinäkyvyysratkaisujen toteuttamiseksi kuudesta kolmeen kuukauteen, ja uusi määräaika on 2. joulukuuta 2026.

Politicon näkemän asiakirjan mukaan Euroopan parlamentin puhemies Roberta Metsola yrittää saada läpi kiistanalaisen lain, joka koskee lapsipornografian suodattamista verkossa. Hänen oma parlamenttinsa hylkäsi lain täysistunnossaan viime maaliskuussa.

Presidentti pyysi neuvostossa kokoontuneita jäsenvaltioita hyväksymään luonnoksen, joka sallisi teknologia-alustojen vapaaehtoisesti skannata palveluitaan lapsipornografian varalta. Asia on kiivaan kiistanalainen: poliisi ja jotkut lasten oikeuksien puolustajat sekä useat EU-komissaarit väittävät, että lainsäädännön puute antaa pedofiileille ja hyväksikäyttäjille mahdollisuuden toimia rankaisematta internetissä.

Yksityisyyden puolustajat ja tietoturva-asiantuntijat uskovat puolestaan, että nämä ehdotukset voisivat johtaa kohtuuttomaan massavalvontaan ja salauksen loppuun.

Euroopan unionin tuomioistuin selvensi 18. kesäkuuta 2026 asiassa C-484/24 – NTH Haustechnik antamassaan tuomiossa, että laittomasti hankittuja henkilötietoja ei pitäisi automaattisesti sulkea pois oikeudenkäynneistä.

Tuomioistuimet voivat käyttää niitä, jos se on ehdottoman välttämätöntä ja oikeasuhteista niiden tehtävän suorittamisen kannalta, noudattaen samalla GDPR:n periaatteita, erityisesti tietojen minimoinnin periaatetta.

Tämä mahdollisuus ei kuitenkaan tee alkuperäisestä tiedonkeruusta laillista eikä vapauta sen tekijää mahdollisista tietosuojasääntöjen rikkomisista.

Euroopan tietosuojaneuvosto (EDPB) hyväksyi mallin tietomurtoilmoitukselle 10. kesäkuuta.

Tämä malli on ensisijaisesti tarkoitettu APD:iden toteutettavaksi tietokonetyökalun avulla.

Malli on julkisen kuulemisen alainen, joten sidosryhmillä on mahdollisuus jakaa kommenttejaan ja palautetta sen sisällöstä 5. elokuuta asti.

Google alkaa 3. elokuuta käyttää Euroopan talousalueella, Yhdistyneessä kuningaskunnassa ja Sveitsissä sijaitsevien internetin käyttäjien IP-osoitteita mainosten mittaamiseen ja personointiin.

Vaikka Google kerää jo näitä tietoja teknisistä syistä, niiden käyttö kehittyy: IP-osoitetta voidaan nyt käyttää laitteiden tunnistamiseen mainonnan kohdentamista varten.

Tämä GDPR:n sääntelemä käytäntö edellyttää käyttäjän suostumusta, joka tulisi integroida jo käytössä oleviin mekanismeihin mainosasetusten ja evästeiden hallintaan.

Uutisia Euroopan unionin jäsenmaista.

Belgian ja Espanjan tietosuojaviranomaiset julkaisivat yhdessä videopelialan suosituksia ja parhaita käytäntöjä 18. kesäkuuta.

Tämä yhteistyö juontaa juurensa viranomaisten tunnistamasta tarpeesta säännellä alaa, jolla on yli 3 miljardia käyttäjää maailmanlaajuisesti ja joka käyttää tunkeilevia teknologioita.

Asiakirjassa analysoidaan yleisimpiä henkilötietojen käsittelytoimia videopeleissä, tunnistetaan niihin liittyvät uhat ja riskit sekä ehdotetaan suosituksia ja parhaita käytäntöjä.

Kroatiassa APD sakotti kiinteistönvälitystoimistoa, joka säilytti asiakastietoja käsittelyn tarkoituksen ulkopuolella, säilytti henkilöllisyystodistusten ja pankkikorttien kopioita ilman laillista perustetta ja antoi työntekijöilleen riittämätöntä koulutusta henkilötietojen käsittelystä.

Espanjan tietosuojavirasto (APD) julkaisi 8. kesäkuuta ohjeet kameroiden käytöstä hoitokodeissa hoidon ja yksityisyyden yhteensovittamiseksi.

Se myös sakotti Vodafone Españaa 1 050 000 eurolla sen jälkeen, kun kolmas osapuoli onnistui ohittamaan turvatarkastukset saadakseen asiakaslaskun, joka sisälsi luvattoman sähköpostiosoitteen, ja luodakseen toisen matkapuhelinlinjan vilpillisesti rekisteröidyn valittajan nimiin.

Se lopulta sakotti CaixaBankille 500 000 euroa järjestelmällisistä tietosuojavirheistä toistuvien tietoturvaloukkausten jälkeen.

Viranomainen pyysi pankkia erityisesti parantamaan tietomurtojen havaitsemisvalmiuksiaan ja vahvistamaan menettelyjään tapaukseen liittyvien henkilöiden ja tietojen tunnistamiseksi.

Irlannin tietosuojaviranomainen (DPA) on määrännyt 300 000 euron sakon Irlannin kansanterveyspalvelulle (HSE) vuonna 2018 tehdyn kiristysohjelmahyökkäyksen jälkeen, jossa vaarantui noin 84 000 potilaan henkilötiedot.

Tutkimuksessa päädyttiin siihen, että HSE ei ollut toteuttanut riittäviä teknisiä ja organisatorisia turvatoimenpiteitä, sillä ei ollut GDPR-yhteensopivaa dokumentaatiota eikä se ollut valvonut alihankkijoitaan asianmukaisesti.

Sakon lisäksi DPC määräsi HSE:n vahvistamaan kestävästi tietoturvakäytäntöjään ja -menettelyjään.

Norjan tietosuojaviranomainen (APD) on määrännyt Elkjøpille 20 miljoonan Norjan kruunun hallinnollisen sakon erityisesti siksi, että henkilötietojen käsittelyyn kanta-asiakasklubin yhteydessä ei ole annettu voimassa olevaa suostumusta, uusia käsittelytarkoituksia ei ole arvioitu riittävästi ja rekisteröityjen pyyntöihin ei ole vastattu GDPR:n mukaisissa määräajoissa.

Kansainvälisesti

Isossa-Britanniassa Derbyshiren poliisia tutkitaan sen jälkeen, kun häntä syytetään tekoälyn käytöstä todisteiden väärentämiseen useissa oikeudenkäynneissä.

Viranomaiset tarkastelevat mahdollisesti asiaankuuluvia tiedostoja, ja upseeri on poistettu operatiivisista tehtävistään.

Tämä tapaus, joka voi olla vakava oikeuden väärinkäyttö, tulee aikana, jolloin Britannian poliisivoimat lisäävät tekoälyn käyttöä, mikä herättää uudelleen keskustelun näiden teknologioiden riskeistä ja tiukan sääntelyn tarpeesta.

Useita poliisilaitoksia on äskettäin pyydetty keskeyttämään tiettyjä tekoälyn käyttötarkoituksia, erityisesti tuomioistuimille laadittavien asiakirjojen laatimisessa, asiavirheiden vuoksi.

Myös Yhdistyneessä kuningaskunnassa 19. kesäkuuta alkaen Britannian tietosuojalainsäädännön alaisten organisaatioiden on otettava käyttöön menettely, jonka avulla luonnolliset henkilöt voivat tehdä valituksia henkilötiedoistaan.

Yksilöiden on ensin osoitettava valituksensa kyseiselle organisaatiolle ennen kuin he voivat ottaa yhteyttä tietosuojavaltuutetun toimistoon.

Kiinassa tekoälyyn perustuvien antropomorfisten interaktiivisten palvelujen hallintaa koskevat väliaikaiset toimenpiteet tulevat voimaan 15. heinäkuuta.

Tämä asetus säätelee nopeasti kasvavaa tekoälypohjaisten virtuaalisten seuralaisten ja emotionaalista tukea tarjoavien robottien sektoria.

Näiden palvelujen tarjoajien on erityisesti ilmoitettava käyttäjille selkeästi, että he ovat vuorovaikutuksessa tekoälyn kanssa, otettava käyttöön mekanismeja emotionaalisen riippuvuuden estämiseksi, havaittava ahdistus- tai riskitilanteet, suojeltava alaikäisiä ja rajoitettava heidän pääsyään virtuaalisiin seuralaisiin.

Niiden on myös noudatettava hallintovaatimuksia, kuten rekisteröitävä algoritminsa, suoritettava tietyissä tapauksissa tietoturva-arviointeja ja toteutettava tietosuoja- ja riskienhallintatoimenpiteitä.

Iberoamerikkalainen tietosuojaverkosto (RIPD) on hyväksynyt viiteasiakirjan, jonka tarkoituksena on vahvistaa neurodatan käsittelyyn sovellettavia suojatoimia. Neurodata on peräisin aivotoimintaa mittaavista tai päättelevistä teknologioista.

Tekstissä suositellaan näiden tietojen suojan tehostamista, niiden käytön ja toiminnan läpinäkyvyyden lisäämistä sekä rajoituksia tai jopa kieltoja tietyille käyttötavoille, jotka katsotaan perusoikeuksien vastaisiksi, erityisesti silloin, kun niillä pyritään manipuloimaan käyttäytymistä tai hyväksikäyttämään haavoittuvia ihmisiä.

Anthropic on poistanut käytöstä kaksi tehokkainta tekoälymalliaan.

Washington oli "kansalliseen turvallisuuteen" vedoten vaatinut amerikkalaista tekoälyyn erikoistunutta startup-yritystä rajoittamaan Claude Fable 5:n ja Mythos 5:n käyttöoikeuden vain Yhdysvaltain kansalaisille.

Anthropicin mukaan tätä pyyntöä on mahdotonta toteuttaa. Anthropic ilmoitti 22. toukokuuta Glasswing-projektistaan ja totesi, että sen kyberturvallisuuden tekoälymalli Mythos oli tunnistanut yli 10 000 haavoittuvuutta laajalti käytetyissä avoimen lähdekoodin ohjelmistoissa ja projekteissa.