Duomenų apsaugos Europos link: kelias ilgas.

Teisinis stebėjimas Nr. 36 – 2021 m. birželis

Duomenų apsaugos Europos link: kelias ilgasĮsigaliojęs Bendrasis duomenų apsaugos reglamentas sukėlė daug vilčių dėl aiškumo ir veiksmingumo.

Nors Europos direktyva, kurią ji pakeitė, jau suteikė gana tikslų ir privalomą teisinį pagrindą, BDAR buvo siekiama sudaryti sąlygas suderintam šių principų įgyvendinimui, kad ir kur Europos Sąjungoje būtų įsikūrusios atitinkamos įmonės.

Priežiūros institucijos taip pat turėjo įvertinti taikomas sankcijas, kurios buvo padidintos, naudodamos nuoseklią analizės lentelę.

Iš tiesų, atrodo, kad yra daug spąstų, kurie vis dar riboja šį ilgai lauktą suderinimą.

Vokietijos komisaras Johannesas Casparas, kuriam artėja dvylikos metų kadencijos pabaiga vadovaujant Hamburgo žemės priežiūros institucijai, atkakliai siekia savo tikslo ir šių metų birželį pasirašo pasmerkdamas BDAR įgyvendinimo trūkumus.

Priežastis – ilgos ir sudėtingos procedūros, kurias reikia atlikti, kol visos institucijos, susirinkusios Europos duomenų apsaugos valdyboje (EDAV), gali susitarti dėl bendros pozicijos.

BDAR nustatė vadinamąją „vieno langelio“ procedūrą, kuri numato pagrindinės institucijos, t. y. tos šalies, kurioje yra pagrindinė tyrimo metu nagrinėjamos bendrovės buveinė, kompetenciją.

Nepaisant to, ši pagrindinė institucija privalo bendradarbiauti su kitomis susijusiomis nacionalinėmis institucijomis įvairiuose procedūros etapuose.

Praktiškai tyrimai yra centralizuoti Airijos institucijos, kuri yra kompetentinga vadovauti daugumai bylų prieš GAFAM, įsteigtą jos teritorijoje, žiniomis, kad minėtoje institucijoje vyksta dvidešimt aštuonios procedūros. Ji kritikuojama dėl lėtų ir švelnių procedūrų, susijusių su didelėmis technologijų bendrovėmis, tokiomis kaip „Facebook“ ir „Twitter“, dėl kurių, kaip pranešama, kyla ilgų ir sudėtingų diskusijų su kolegomis EDAPP.

Hamburgo valdžios komisaras ragina priežiūros institucijas laiku duoti aiškius ir atgrasančius signalus, kad duomenų valdytojai, kad ir kur jie būtų Europos Sąjungoje, laikytųsi reikalavimų panašiai ir neiškraipydami konkurencijos.

Reikėtų pažymėti, kad šią problemą pats Komitetas įvardijo savo 2020 m. metinėje ataskaitoje ir kad valdžios institucijų bendradarbiavimo gerinimas yra vienas iš jo 2021–2022 m. prioritetų.

Pridurkime, kad nors ir susiduriama su procedūriniais sunkumais, „vieno langelio“ sistema vis dėlto turi pranašumą, nes kiekvienas Europos Sąjungos pilietis gali pateikti skundą savo nacionalinei priežiūros institucijai, net jei duomenų valdytojas yra įsisteigęs kitoje šalyje, o kompetentingos institucijos yra atsakingos už bendradarbiavimą nagrinėjant skundą.

Jei skundo pateikėjas nėra patenkintas tyrimo rezultatais, jis taip pat gali siekti teisių gynimo savo šalyje.

Europos Teisingumo Teismas birželio 15 d. sprendime taip pat priminė apie institucijų, kurios nėra pagrindinės institucijos nagrinėjant tarpvalstybinį skundą, veiksmų laisvę.

Ginčo tarp „Facebook“ (įsisteigusios Airijoje) ir Belgijos duomenų apsaugos institucijos kontekste Teismas nusprendė, kad Belgijos institucija, nors ir ne vadovaujanti institucija, gali kreiptis į Belgijos teismus dėl tam tikrų „Facebook“ padarytų BDAR pažeidimų.

Vis dėlto šios sąlygos taikomos tik skubiais atvejais (BDAR 66 straipsnis) arba vietos atvejais (BDAR 56 straipsnio 2 dalis). Todėl šis sprendimas nereiškia vieno langelio principo pabaigos, o tik nurodo jo taikymo išimtis. Taigi valdžios institucijų bendradarbiavimo principas išlieka norma.

Ir taip pat

Prancūzija:

Birželio 30 d. CNIL paskelbė trečiąją savo programinės įrangos, skirtos privatumo poveikio analizei palengvinti, versiją.

Ši nauja versija padeda vadovams atlikti poveikio analizę ir leidžia kurti žinių bazes, lygiagrečias CNIL teikiamoms.

CNIL ribotos atsakomybės komitetas bendrovei skyrė 500 000 eurų baudą. Bricoprivé už

• Siunčiami paieškos el. laiškai be asmenų sutikimo ir nesilaikoma kelių kitų BDAR įsipareigojimų:
  • Nesilaikymas duomenų saugojimo terminų, kuriuos bendrovė buvo nusistačiusi sau,
  • Nesilaikymas informavimo įsipareigojimų ir teisės reikalauti ištrinti duomenis, ir
  • Trūksta stiprių slaptažodžių, susijusių su duomenų saugumo aspektais.

CNIL taip pat atkreipė dėmesį į slapukų naudojimą be vartotojo sutikimo.

Europa:

Birželio 4 d. Europos Komisija paskelbė naują standartinių sutarčių sąlygų versiją, skirtą palengvinti tarptautinį duomenų perdavimą.

Šiose nuostatose atsižvelgiama į Europos Teisingumo Teismo sprendimo Schrems II byloje pasekmes dėl trečiųjų šalių institucijų prieigos prie duomenų rizikos, ypač nacionalinio saugumo kontekste.

Tuo pačiu metu, birželio 18 d., Europos duomenų apsaugos valdyba paskelbė rekomendacijas, kuriomis siekiama padėti duomenų valdytojams analizuoti tokią duomenų perėmimo riziką ir suteikti jiems galimybę imtis papildomų apsaugos priemonių.

Dirbtinis intelektas:

Europos duomenų apsaugos priežiūros pareigūnas ir Europos duomenų apsaugos valdyba kartu paskelbė raginimą uždrausti dirbtinio intelekto naudojimą.

• Automatinis biometrinių duomenų atpažinimas viešose erdvėse,
• Socialinis vertinimas, įskaitant per socialinę žiniasklaidą, ir
• Dirbtinio intelekto naudojimas žmonių emocinei būsenai nustatyti.

Ši pozicija atitinka balandžio 21 d. paskelbtą Europos Komisijos pasiūlymą dėl dirbtinio intelekto.

Tarptautinis duomenų perdavimas:

Europos Komisija savo rekomendacijas paskelbė birželio 28 d. tinkamumo sprendimai dėl Jungtinės Karalystės.

Vienas susijęs su BDAR reikalavimais, o kitas – su Europos direktyva dėl policijos duomenų tvarkymo.

Naujas elementas yra tas, kad Komisija įtraukia „saulėlydžio sąlyga“ kuris apriboja sprendimų galiojimo laikotarpį iki ketverių metų.

Sprendimai gali būti atnaujinti, jei apsaugos lygis JK vis dar atitiks Europos reikalavimus.

Susirūpinimą kelia ir Jungtinės Karalystės planai sudaryti naujus prekybos ir duomenų laisvo srauto susitarimus su besiformuojančiomis ekonomikomis.

Belgija yra Europos Komisijos taikiklyje ir ji pradėjo BDAR pažeidimo procedūrą dėl savo duomenų apsaugos institucijos nepriklausomumo.

Priežastis – kelių jos narių narystė vyriausybinėse įstaigose.

Tarptautinis:

Tarptautinė koalicija, kurią sudaro daugiau nei 55 vartotojų teisių gynimo, pilietinių laisvių ir nevyriausybinės organizacijos, ragina... draudimas reklamuotis, remiantis asmenų sekimu ir profiliavimu.

Šios pozicijos priežastis buvo Norvegijos vartotojų tarybos ataskaita, kurioje atskleistos stebėjimo praktikos komerciniais klausimais pasekmės visuomenei.

Birželio 16 d. Europos Komisija pradėjo procedūrą, kuria siekiama pripažinti duomenų apsaugos tinkamumas Pietų Korėjoje.

Birželio 10 d. Kinijos valdžia paskelbė priėmusi įstatymą dėl duomenų saugumo. kuriuo taip pat siekiama apsaugoti asmenų, kurių duomenys tvarkomi, teises ir interesus.

Anne Christine Lacoste

„Olivier Weber Avocat“ partnerė Anne Christine Lacoste yra teisininkė, kurios specializacija – duomenų teisė; ji buvo Europos duomenų apsaugos priežiūros pareigūno tarptautinių santykių vadovė ir dirbo įgyvendinant BDAR Europos Sąjungoje.