Trump c. Slaughter : la fin des flux de données transatlantiques ?

Dana 30. lipnja, nevladina organizacija Noyb, trn u oku digitalnih divova i regulatora, poslala je pismo Europskoj komisiji u kojem je tražila da zakaže izlazak iz transatlantskog okvira za zaštitu podataka (Okvir za privatnost podataka ili DPF).

Prema nevladinoj organizaciji, Sjedinjene Države više ne jamče nikakav neovisan nadzor u vezi s privatnošću.

Iako je predsjednik Trump već otpustio 2 od 3 člana “Odbora za nadzor privatnosti i građanskih sloboda”, neovisnog nadzornog tijela koje je Kongres osnovao 2004. godine, Vrhovni sud Sjedinjenih Država nesumnjivo je upravo zadao smrtonosni udarac američkom neovisnom nadzornom sustavu.

U potpunom preokretu svoje prethodne sudske prakse, Sud je 29. lipnja odlučio da je neovisnost Federalne trgovinske komisije (FTC) neustavna.

Presuda u slučaju "Trump protiv Slaughtera" spada u okvir "unitarne" teorije, prema kojoj predsjednik mora vršiti vlast nad svim američkim izvršnim tijelima.

Prema toj doktrini, američki zakoni koji daju neovisnost raznim agencijama su stoga neustavni.

“S obzirom na to da se Europska unija uvelike oslanjala na ’neovisnost« FTC-a kao svog nadzornika privatnosti, cijela struktura okvira zaštite podataka između EU i SAD-a upravo se urušila.»

Predsjednik Noyba Max Schrems dodaje da će, s obzirom na to da Sjedinjene Države i dalje vrše znatan pritisak na EU da održi protok osobnih podataka, njegova nevladina organizacija također pokrenuti pravne radnje u nadolazećim tjednima s ciljem da Sud Europske unije (CJEU) poništi trenutni sporazum.

Presuda u slučaju "Schrems III" mogla bi stoga upotpuniti popis postignuća aktivista.

Zastupnik i član CNIL-a Philippe Latombe također je poslao pismo Europskoj komisiji u kojem traži otkazivanje transatlantskog ugovora i poziva francuske tvrtke da implementiraju suverena rješenja za upravljanje podacima.

Treba podsjetiti da odluka Europske komisije, kojom se priznaje adekvatnost okvira zaštite koji su uspostavile Sjedinjene Države, ostaje na snazi sve dok je Komisija ili Sud EU-a ne proglase nevažećom.

Postupak pred Sudom obično traje između dvije i tri godine prije donošenja konačne odluke.

Međutim, Komisija možda neće čekati ishod takvog postupka: već je, kao odgovor na pitanja medija, najavila da namjerava analizirati valjanost svoje odluke o adekvatnosti s obzirom na nedostatak neovisnosti FTC-a.

Dansko tijelo za zaštitu podataka dodatno je u izjavi od 1. srpnja naznačilo da bi odluka Vrhovnog suda Sjedinjenih Država mogla imati posebno široke posljedice, utječući ne samo na prijenose temeljene na DPF-u, već i na prijenose izvršene putem drugih pravnih osnova, na primjer na temelju standardnih ugovora.

Tijelo potiče kontrolore podataka da preispitaju svoju procjenu razine zaštite koju jamči zemlja primateljica u kontekstu svoje procjene učinka prijenosa.

Posebno je važno provjeriti jesu li i dalje ispunjeni preduvjeti za neovisnu kontrolu od strane vlasti.

Za kontrolore podataka i službenike za zaštitu podataka (DPO), ova vijest pruža priliku za ažuriranje mapiranja transatlantskih prijenosa podataka, uključujući SaaS, cloud ili AI alate, kako bi ponovno procijenili svoju pravnu osnovu i identificirali moguće alternative gdje je to primjereno.

U Francuskoj

Nakon javnih konzultacija, CNIL je 30. lipnja objavio svoje preporuke o korištenju podataka o lokaciji iz povezanih vozila (automobila, bicikala, skutera itd.) od strane profesionalaca.

Njegov je cilj jačanje pravne sigurnosti i pružanje veće transparentnosti korisnicima.

U informativnom listu ažuriranom 19. lipnja, CNIL ponavlja svoje bitne preporuke u vezi s korištenjem digitalne tehnologije u poslovanju.

Navodi 12 preporuka i potiče kontrolore podataka da provedu dijagnozu putem vladine web stranice.

Također, u publikaciji od 10. lipnja, navodi pravila kojih se treba pridržavati u slučaju elektroničke komunikacije s potencijalnim i postojećim klijentima.

Dana 3. srpnja, CNIL je objavio rezultate svog istraživanja usmjerenog na analizu evolucije uloge DPO-a s obzirom na razvoj umjetne inteligencije (AI).

Zanima je upravljanje umjetnom inteligencijom u organizacijama, novi regulatorni izazovi povezani s usklađivanjem GDPR-a i europske uredbe o umjetnoj inteligenciji, kao i potrebe službenika za zaštitu podataka (DPO) u smislu vještina, obuke i alata.

Iako DPO ostaje ključni igrač u osiguravanju zaštite osobnih podataka u projektima umjetne inteligencije, nije namijenjen samom upravljanju ovom usklađenošću i još uvijek nema temeljito razumijevanje propisa.

CNIL namjerava prilagoditi svoje preporuke i podršku stručnjacima ovim novim izazovima i poziva se na alate koji su već dostupni na njegovoj web stranici.

U utorak, 16. lipnja, premijer je u videu objavljenom na društvenim mrežama najavio dodatna javna ulaganja od 655 milijuna eura kroz program Francuska 2030 kako bi se ubrzao razvoj umjetne inteligencije u Francuskoj.

«Jedna od najsimboličnijih objava odnosi se na Opću upravu za unutarnju sigurnost (DGSI), koja prekida partnerstvo s američkim divom za analizu podataka Palantir.“.

Kako bi zamijenio ovu stranu tehnologiju, DGSI je odabrao francusku tvrtku ChapsVision.

Ovu zabrinutost nedavno je pojačala odluka američke administracije da ograniči pristup određenim naprednim modelima umjetne inteligencije za strane državljane, u ime nacionalne sigurnosti.

Vlada također želi ubrzati usvajanje umjetne inteligencije u upravi.

Suvereni razgovorni asistent postupno će se uvoditi za otprilike milijun državnih službenika.»

U vezi s istom temom, testiranje kineskog jezičnog modela u Glavnoj upravi Ministarstva financija prekinuto je 23. lipnja zbog "sugestivnih" ili "pristranih" odgovora.

Chatbot je bio namijenjen pomaganju višim dužnosnicima u njihovim svakodnevnim zadacima, uključujući obradu povjerljivih ili osjetljivih podataka.

U srijedu je instaliran novi model francuskog startupa Mistral AI.

Od 2027. godine, Francuska nacionalna agencija za kibernetičku sigurnost (ANSSI) prestat će certificirati sigurnosne proizvode koji nemaju mehanizme šifriranja otporne na kvantna računala.

Ovaj zahtjev će se posebno odnositi na proizvode namijenjene osjetljivim sektorima kao što su obrana, naoružanje i javna uprava.

Tvrtke imaju rok do 2030. za kupnju samo takozvanih "kvantno sigurnih" rješenja.

Ubrzavanje prijelaza na postkvantnu kriptografiju također je bilo u središtu rada podskupine G7 za kibernetičku sigurnost koja se sastala pod francuskim predsjedanjem početkom lipnja.

Tijela za zaštitu podataka zemalja G7 također su se sastala u Parizu 25. i 26. lipnja na poziv CNIL-a u sklopu francuskog predsjedanja G7.

Usvojili su deklaraciju o mehanizmima provjere dobi koji poštuju privatnost, kao i dokument o razvoju povezanih objekata koji poštuju privatnost maloljetnika.

U Europi

Europske institucije i tijela

Vijeće EU-a je 29. lipnja dalo konačno odobrenje za pojednostavljenje i racionalizaciju pravila o umjetnoj inteligenciji predviđenih Omnibus uredbom.

Primjena pravila koja se odnose na visokorizične sustave odgađa se do 2. prosinca 2027. za samostalne visokorizične sustave umjetne inteligencije i do 2. kolovoza 2028. za visokorizične sustave umjetne inteligencije integrirane u proizvode.

Tekst dodaje odredbu uredbi o umjetnoj inteligenciji kojom se zabranjuju prakse umjetne inteligencije povezane s generiranjem seksualnog i intimnog sadržaja ili dječje pornografije bez pristanka.

Sustavi umjetne inteligencije koji generiraju slike stvarnih golih ljudi ili uklanjaju odjeću s postojećih fotografija kako bi otkrili intimne dijelove tijela također će biti zabranjeni od prosinca 2026.

Novom uredbom odgađa se rok za uspostavu regulatornih «pješčanika» namijenjenih umjetnoj inteligenciji od strane nadležnih tijela na nacionalnoj razini do 2. kolovoza 2027. te se smanjuje razdoblje dano pružateljima usluga za provedbu rješenja za transparentnost u vezi s umjetno generiranim sadržajem sa 6 na 3 mjeseca, a novi rok je 2. prosinca 2026.

Prema dokumentu koji je vidio Politico, predsjednica Europskog parlamenta, Roberta Metsola, pokušava usvojiti kontroverzni zakon o filtriranju dječje pornografije na internetu (CSAM), zakon koji je prošlog ožujka odbacila njezina vlastita skupština na plenarnoj sjednici.

Predsjednik je zatražio od država članica okupljenih u Vijeću da odobre nacrt koji bi tehnološkim platformama omogućio dobrovoljno skeniranje svojih usluga u potrazi za sadržajem dječje pornografije, pitanje koje je predmet žestokih kontroverzi: policija i neki zagovornici dječjih prava, kao i nekoliko europskih povjerenika, tvrde da nedostatak zakonodavstva omogućuje predatorima i pedofilima da nekažnjeno djeluju na internetu.

Zagovornici privatnosti i sigurnosni stručnjaci, u međuvremenu, vjeruju da bi ovi prijedlozi mogli dovesti do neprihvatljivog masovnog nadzora i kraja enkripcije.

Dana 18. lipnja 2026., Sud EU-a je u svojoj presudi C-484/24 – NTH Haustechnik pojasnio da se osobni podaci dobiveni nezakonito ne bi trebali automatski isključivati iz pravnog postupka.

Sudovi ih mogu koristiti ako je to strogo potrebno i proporcionalno obavljanju njihove misije, uz poštivanje načela GDPR-a, posebno minimiziranja podataka.

Međutim, ta mogućnost ne čini početno prikupljanje informacija zakonitim i ne oslobađa autora od mogućih kršenja pravila o zaštiti podataka.

Europski odbor za zaštitu podataka (EDPB) usvojio je 10. lipnja model za obavještavanje o povredi podataka.

Ovaj model je prvenstveno namijenjen implementaciji od strane APD-ova pomoću računalnog alata.

Model je predmet javne rasprave, što dionicima nudi priliku da podijele svoje komentare i povratne informacije o njegovom sadržaju do 5. kolovoza.

Od 3. kolovoza Google će koristiti IP adrese korisnika interneta koji se nalaze u Europskom gospodarskom prostoru, Ujedinjenom Kraljevstvu i Švicarskoj za mjerenje i personalizaciju oglasa.

Iako Google već prikuplja ove podatke iz tehničkih razloga, njihova upotreba se razvija: IP adresa sada se može koristiti za identifikaciju uređaja u svrhu ciljanog oglašavanja.

Ova praksa, uređena GDPR-om, zahtijevat će privolu korisnika, koja bi trebala biti integrirana u mehanizme koji se već koriste za upravljanje postavkama oglašavanja i kolačićima.

Vijesti iz zemalja članica Europske unije.

Belgijska i španjolska tijela za zaštitu podataka (DPA) zajednički su 18. lipnja objavila preporuke i najbolje prakse za sektor videoigara.

Ova suradnja proizlazi iz potrebe koju su vlasti utvrdile za reguliranjem sektora koji uključuje više od 3 milijarde korisnika diljem svijeta i koristi invazivne tehnologije.

Dokument analizira najčešće aktivnosti obrade osobnih podataka u videoigrama, identificira prijetnje i rizike koje one sa sobom nose te predlaže preporuke i najbolje prakse.

U Hrvatskoj je APD kaznio agenciju za nekretnine zbog zadržavanja podataka o klijentima izvan svrhe obrade, pohranjivanja kopija identifikacijskih dokumenata i bankovnih kartica bez pravne osnove te nedovoljne obuke svojih zaposlenika o obradi osobnih podataka.

Španjolska agencija za zaštitu podataka (APD) objavila je 8. lipnja smjernice u vezi s korištenjem kamera u domovima za starije i nemoćne kako bi se uskladila skrb i privatnost.

Također je kažnjena tvrtka Vodafone España s 1.050.000 eura nakon što je treća strana uspjela zaobići sigurnosne kontrole kako bi dobila račun korisnika koji sadrži neovlaštenu adresu e-pošte i lažno registrirala drugu mobilnu liniju na ime podnositelja pritužbe.

Konačno je CaixaBank kaznila s 500.000 eura zbog sustavnih propusta u zaštiti podataka, nakon ponovljenih sigurnosnih propusta.

Tijelo je posebno zatražilo od banke da poboljša svoje sposobnosti otkrivanja povreda i ojača svoje postupke za identifikaciju osoba i podataka uključenih u slučaju incidenta.

Irsko tijelo za zaštitu podataka (DPA) kaznilo je Izvršnu upravu zdravstvene službe (HSE), javnu zdravstvenu službu, s 300.000 eura nakon kibernetičkog napada ransomwareom iz 2018. godine koji je ugrozio osobne podatke otprilike 84.000 pacijenata.

Istraga je zaključila da HSE nije proveo dovoljne tehničke i organizacijske sigurnosne mjere, nije imao dokumentaciju usklađenu s GDPR-om i nije pravilno nadzirao svoje podizvođače.

Uz kaznu, DPC je naložio HSE-u da održivo ojača svoje politike i postupke sigurnosti podataka.

Norveška agencija za zaštitu podataka (APD) izrekla je Elkjøpu administrativnu kaznu od 20 milijuna norveških kruna, posebno zbog nedostatka valjane privole za obradu osobnih podataka u kontekstu kluba vjernosti, nedovoljnih procjena u vezi s novim svrhama obrade i neodgovaranja na zahtjeve ispitanika u rokovima predviđenim GDPR-om.

Međunarodno

U Velikoj Britaniji, policajac iz Derbyshirea je pod istragom nakon što je optužen za korištenje umjetne inteligencije za krivotvorenje dokaza u nekoliko sudskih slučajeva.

Vlasti pregledavaju potencijalno relevantne dosjee, dok je policajac smijenjen s operativnih dužnosti.

Ovaj slučaj, koji bi mogao predstavljati ozbiljnu zlouporabu pravde, dolazi u vrijeme kada britanske policijske snage povećavaju korištenje umjetne inteligencije, ponovno potičući raspravu o rizicima i potrebi za strogom regulacijom tih tehnologija.

Od nekoliko policijskih uprava nedavno je zatraženo da obustave određene upotrebe umjetne inteligencije, posebno pri izradi dokumenata za sudove, zbog činjeničnih pogrešaka.

I u Ujedinjenom Kraljevstvu, od 19. lipnja, organizacije koje podliježu britanskom zakonodavstvu o zaštiti podataka dužne su uspostaviti postupak koji omogućuje fizičkim osobama podnošenje pritužbi u vezi s njihovim osobnim podacima.

Pojedinci prvo moraju uputiti svoju pritužbu dotičnoj organizaciji prije nego što kontaktiraju Ured povjerenika za informiranje.

U Kini će Privremene mjere koje se odnose na upravljanje antropomorfnim interaktivnim uslugama temeljenim na umjetnoj inteligenciji stupiti na snagu 15. srpnja.

Ova uredba regulira brzorastući sektor virtualnih pratitelja temeljenih na umjetnoj inteligenciji i robota za emocionalnu podršku.

Pružatelji ovih usluga morat će jasno obavijestiti korisnike da komuniciraju s umjetnom inteligencijom, uspostaviti mehanizme za sprječavanje emocionalne ovisnosti, otkrivanje situacija nevolje ili rizika, zaštitu maloljetnika i ograničavanje njihovog pristupa virtualnim suputnicima.

Također će se morati pridržavati zahtjeva upravljanja, kao što su registracija algoritama, provođenje sigurnosnih procjena u određenim slučajevima i provedba mjera zaštite podataka i upravljanja rizicima.

Iberoamerička mreža za zaštitu podataka (RIPD) usvojila je referentni dokument usmjeren na jačanje zaštitnih mjera koje se primjenjuju na obradu "neuropodataka", koji potječu iz tehnologija sposobnih za mjerenje ili zaključivanje o moždanoj aktivnosti.

Tekst preporučuje pojačanu zaštitu ovih podataka, povećanu transparentnost njihove upotrebe i rada, kao i ograničenja, ili čak zabrane, za određene upotrebe koje se smatraju nespojivim s temeljnim pravima, posebno kada su im cilj manipuliranje ponašanjem ili iskorištavanje ranjivih osoba.

Anthropic je povukao iz upotrebe svoja dva najmoćnija modela umjetne inteligencije.

Pozivajući se na zabrinutost za "nacionalnu sigurnost", Washington je zahtijevao da američki startup specijaliziran za umjetnu inteligenciju ograniči pristup Claude Fableu 5 i Mythosu 5 samo američkim građanima.

Prema Anthropicu, ovaj zahtjev je nemoguće provesti. Dana 22. svibnja Anthropic je najavio svoj projekt Glasswing, navodeći da je njegov model umjetne inteligencije za kibernetičku sigurnost, Mythos, identificirao više od 10 000 ranjivosti u široko korištenom softveru i projektima otvorenog koda.