Zaštita podataka u punom jeku

Pravni nadzor br. 20 – 10. veljače 2020.

Ovo je ono čega se sjećamo iz prvih tjedana ove nove godine, s brojnim raspravama povodom značajnih događaja:

• Međunarodni dan zaštite podataka, 28. siječnja
• Međunarodna konferencija o zaštiti podataka koju je prošli tjedan u Bruxellesu organizirao akademski sektor, i
• Međunarodni forum o kibernetičkoj sigurnosti u Lilleu posljednjih dana siječnja.

Veljača neće biti izostavljena, s konferencijom o "intenzivnoj zaštiti podataka" u Parizu koju organizira Međunarodno udruženje službenika za zaštitu podataka (IAPP).

Među mnogim obrađenim temama, ističu se dvije: intenziviranje rasprava o prepoznavanju lica i specifična situacija malih i srednjih poduzeća te mikro, malih i srednjih poduzeća s obzirom na GDPR.

Prepoznavanje lica pod znakom pitanja

Ono što je zapalilo fitilj krajem siječnja bila je hipoteza, iznesena u bijeloj knjizi Europske komisije, o moratorij o prepoznavanju lica na javnim mjestima.

Ovaj dokument, u fazi nacrta, nije bio namijenjen distribuciji, a Komisija je od tada objavila da odustaje od mogućnosti moratorija i daje prioritet drugim putovima regulacije.

Svoj rad o umjetnoj inteligenciji predstavit će 19. veljače.

Ideja o strožem reguliranju, ili čak zabrani, automatskog prepoznavanja ljudi na određenim mjestima, probija se među regulatorima, kao i u privatnom i javnom sektoru, pa čak i izvan Europe.

O toj su se temi, između ostalih, oglasili Europski nadzornik za zaštitu podataka (EDPS) i povjerenik za zaštitu podataka Vijeća Europe.

Europski odbor za zaštitu podataka (EDPB) također se bavi tim pitanjem u svojim najnovijim smjernicama usvojenim krajem siječnja.

Sve više gradova, poput San Francisca i Cambridgea, zabranilo je ovu tehnologiju u svojim javnim prostorima.

Potencijalne upotrebe podataka stvaraju toliku nesigurnost da tehnološki divovi poput Microsofta također pozivaju na veću jasnoću.

Među iznesenim argumentima, posebno ističemo rizici diskriminacije na temelju etničkog podrijetla i drugih predrasuda što dovodi do previše „lažno pozitivnih rezultata“.

Izgledi za javni prostor pod potpunim nadzorom također postavljaju pitanja u svjetlu trenutnih mogućnosti prikupljanja podataka: razmišljamo o bazi podataka Clearview, tvrtki koja pohranjuje lica dostupna na svim društvenim mrežama kako bi ih prodavala policiji u Sjedinjenim Državama, a koja je početkom ove godine dospjela na naslovnice.

Također zaslužuje istaknuti međunarodnu dimenziju problema.

To dokazuje i nedavno parlamentarno pitanje na europskoj razini u vezi s projektom "Siguran grad" razvijenim u Srbiji, a temeljenim na kineskoj tehnologiji prepoznavanja lica. 

Situacija mikro-malih i malih poduzeća

Rasprave koje su se održale tijekom raznih događaja u siječnju istaknule su glavne izazove s kojima se suočavaju (vrlo) mala i srednja poduzeća.

Ako predstavljaju najveći dio europskog gospodarstva, oni su najzaostaliji prilikom rješavanja pitanja sigurnosti njihove IT platforme, korištenja oblaka, outsourcinga i korištenja alata za samoprocjenu (revizija).

Suočen s ovim pitanjima, nekoliko inicijativa ugledali su svjetlo dana. 

ENISA (Agencija Europske unije za kibernetičku sigurnost) pokrenula je 28. siječnja online platformu kako bi pomogla tvrtkama, posebno malim i srednjim poduzećima, da osiguraju svoje podatke.

Postoje i dvije inicijative usmjerene na pomoć programerima web stranica: vodič CNIL-a i onaj organizacije EDRI imaju za cilj podržati razvoj web stranica u skladu s GDPR-om.

Iako odabir sigurnog (i idealno europskog) oblaka ostaje složen, vrijedi spomenuti napore europskih regulatora u tom pogledu. Microsoft je, na primjer, upravo izmijenio ugovorne uvjete za Office 365 pod pritiskom EDPS-a i Nizozemske kako bi ih uskladio s GDPR-om.

I također:

U Francuskoj:

Kao što je najavljeno, CNIL je 14. siječnja 2020. objavio nacrt preporuke u vezi skorištenje kolačića i drugih alata za praćenje.

Cilj mu je pojasniti uvjete za dobivanje privole i uključuje konkretne primjere obavijesti korisnicima interneta. Tekst je otvoren za savjetovanje do 25. veljače.

U Europi:

Tamo Izlazak Ujedinjenog Kraljevstva iz Europske unije imat će posljedice na prijenos podataka.

Ipak će biti bez promjena tijekom 2020. godine, prijelazne godine tijekom koje će Europska komisija procijeniti razinu zaštite koju nudi Ujedinjena Kraljevina kako bi donijela moguću odluku o adekvatnosti. 

Priopćenja za javnost ICO-a (britanskog nadzornog tijela) i CNIL-a navode te elemente.

Međunarodno:

• SJEDINJENE DRŽAVE Nakon stupanja na snagu početkom 2020. Zakon o privatnosti potrošača u Kaliforniji, na redu je država Washington da pripremi zakon o privatnosti.

• Indonezija a zakon o zaštiti podataka podnesen je parlamentu 28. siječnja. Njegova najnovija verzija od 6. prosinca 2019., uvelike inspirirana GDPR-om, primjenjuje se na javni i privatni sektor.

Podsjećamo, popis zemalja čije zakone Europska unija smatra adekvatnima, čime se olakšava prijenos podataka u te zemlje, dostupan je ovdje.

• Andora,
• Argentina,
• Kanada (komercijalne organizacije),
• Farski otoci,
• Guernsey,
• Izrael,
• Otok Man,
• Japan,
• Dres,
• Novi Zeland,
• Švicarska,
• Urugvaj i
• Sjedinjene Američke Države (ograničeno na okvir Privacy Shield)

Anne Christine Lacoste

Partnerica u tvrtki Olivier Weber Avocat, Anne Christine Lacoste, odvjetnica je specijalizirana za pravo podataka; bila je voditeljica međunarodnih odnosa u Europskom nadzorniku za zaštitu podataka i radila je na provedbi GDPR-a u Europskoj uniji.