Trump c. Slaughter : la fin des flux de données transatlantiques ?

Birželio 30 d. nevyriausybinė organizacija „Noyb“, skaitmeninių milžinių ir reguliuotojų akyse, išsiuntė Europos Komisijai laišką, prašydama suplanuoti pasitraukimą iš transatlantinės duomenų apsaugos sistemos (Duomenų privatumo sistemos arba DPF).

Pasak NVO, Jungtinės Valstijos nebegarantuoja jokios nepriklausomos privatumo priežiūros.

Nors prezidentas Trumpas jau atleido 2 iš 3 “Privatumo ir pilietinių laisvių priežiūros tarybos”, 2004 m. Kongreso įkurtos nepriklausomos priežiūros institucijos, narių, Jungtinių Valstijų Aukščiausiasis Teismas neabejotinai sudavė mirtiną smūgį Amerikos nepriklausomai priežiūros sistemai.

Birželio 29 d. Teismas, 180° kampu pakeisdamas ankstesnę savo praktiką, nusprendė, kad Federalinės prekybos komisijos (FTC) nepriklausomumas prieštarauja Konstitucijai.

«Trump v. Slaughter» sprendimas patenka į «unitarinės» teorijos rėmus, pagal kurią prezidentas privalo vykdyti valdžią visoms Amerikos vykdomosioms institucijoms.

Pagal šią doktriną, Amerikos įstatymai, suteikiantys įvairioms agentūroms nepriklausomybę, yra antikonstituciniai.

“Atsižvelgiant į tai, kad Europos Sąjunga labai rėmėsi FTC ’nepriklausomybe« kaip privatumo priežiūros institucija, visa ES ir JAV duomenų apsaugos sistemos struktūra tiesiog žlugo.»

„Noyb“ prezidentas Maxas Schremsas priduria, kad Jungtinėms Valstijoms vis dar darant didelį spaudimą ES, kad ši užtikrintų asmens duomenų srautą, jo NVO artimiausiomis savaitėmis taip pat imsis teisinių veiksmų, siekdama, kad Europos Sąjungos Teisingumo Teismas (ESTT) galėtų panaikinti dabartinį susitarimą.

Taigi «Schrems III» sprendimas galėtų užbaigti aktyvisto pasiekimų sąrašą.

Parlamento narys ir CNIL narys Philippe'as Latombe'as taip pat išsiuntė laišką Europos Komisijai, prašydamas panaikinti transatlantinę sutartį ir ragindamas Prancūzijos bendroves įdiegti suverenius duomenų valdymo sprendimus.

Reikėtų priminti, kad Europos Komisijos sprendimas, kuriuo pripažįstamas Jungtinių Valstijų įdiegtos apsaugos sistemos tinkamumas, galioja tol, kol Komisija arba ESTT jį paskelbia negaliojančiu.

Teismo procesas paprastai trunka nuo dvejų iki trejų metų, kol priimamas galutinis sprendimas.

Tačiau Komisija gali nelaukti tokios procedūros rezultatų: atsakydama į žiniasklaidos klausimus, ji jau paskelbė, kad ketina išanalizuoti savo sprendimo dėl tinkamumo pagrįstumą, atsižvelgdama į FTC nepriklausomumo stoką.

Danijos duomenų apsaugos institucija liepos 1 d. pareiškime taip pat nurodė, kad Jungtinių Valstijų Aukščiausiojo Teismo sprendimas gali turėti itin plačių pasekmių, paveikdamas ne tik duomenų perdavimą pagal DPF, bet ir duomenų perdavimą kitais teisiniais pagrindais, pavyzdžiui, remiantis standartinėmis sutartimis.

Institucija ragina duomenų valdytojus peržiūrėti savo atliktą gavėjos šalies garantuojamo apsaugos lygio vertinimą atliekant perdavimo poveikio vertinimą.

Ypač svarbu patikrinti, ar vis dar tenkinamos nepriklausomos valdžios institucijų kontrolės prielaidos.

Duomenų valdytojams ir duomenų apsaugos pareigūnams (DAP) ši naujiena suteikia galimybę atnaujinti savo transatlantinių duomenų perdavimo planus, įskaitant SaaS, debesijos ar dirbtinio intelekto įrankius, iš naujo įvertinti savo teisinį pagrindą ir, jei reikia, nustatyti galimas alternatyvas.

Prancūzijoje

Po viešų konsultacijų CNIL birželio 30 d. paskelbė rekomendacijas dėl specialistų naudojamų vietos duomenų iš prijungtų transporto priemonių (automobilių, dviračių, motorolerių ir kt.).

Jo tikslas – sustiprinti teisinį tikrumą ir užtikrinti didesnį skaidrumą vartotojams.

Birželio 19 d. atnaujintame informaciniame lapelyje CNIL pakartoja esmines rekomendacijas dėl skaitmeninių technologijų naudojimo versle.

Jame pateikiama 12 rekomendacijų, o duomenų valdytojai raginami atlikti diagnostiką vyriausybės interneto svetainėje.

Birželio 10 d. publikacijoje taip pat nurodomos taisyklės, kurių reikia laikytis elektroninių ryšių su potencialiais ir esamais klientais atveju.

Liepos 3 d. CNIL paskelbė savo atliktos apklausos, kuria siekta išanalizuoti duomenų apsaugos pareigūnų vaidmens raidą dirbtinio intelekto (DI) plėtros kontekste, rezultatus.

Ji domisi dirbtinio intelekto valdymu organizacijose, naujais reguliavimo iššūkiais, susijusiais su BDAR ir Europos dirbtinio intelekto reglamento sąsaja, taip pat duomenų apsaugos pareigūnų poreikiais įgūdžių, mokymų ir įrankių srityje.

Nors duomenų apsaugos pareigūnas išlieka pagrindiniu veikėju užtikrinant asmens duomenų apsaugą dirbtinio intelekto projektuose, jis nėra skirtas vienam valdyti šią atitiktį ir dar neturi išsamaus reglamento supratimo.

CNIL ketina pritaikyti savo rekomendacijas ir paramą specialistams prie šių naujų iššūkių ir remiasi savo svetainėje jau prieinamomis priemonėmis.

Antradienį, birželio 16 d., ministras pirmininkas socialiniuose tinkluose paskelbtame vaizdo įraše paskelbė apie papildomas 655 mln. eurų viešąsias investicijas pagal programą „France 2030“, siekiant paspartinti dirbtinio intelekto plėtrą Prancūzijoje.

«Vienas simboliškiausių pranešimų susijęs su Vidaus saugumo generaliniu direktoratu (DGSI), kuris nutraukia partnerystę su Amerikos duomenų analizės milžine „Palantir“.

Šiai užsienio technologijai pakeisti DGSI pasirinko Prancūzijos bendrovę „ChapsVision“.

Šį susirūpinimą neseniai sustiprino JAV administracijos sprendimas nacionalinio saugumo vardu apriboti užsienio piliečių prieigą prie tam tikrų pažangių dirbtinio intelekto modelių.

Vyriausybė taip pat nori paspartinti dirbtinio intelekto diegimą administravime.

Maždaug milijonui valstybės tarnautojų bus palaipsniui diegiama nepriklausoma pokalbių asistento paslauga.»

Ta pačia tema, birželio 23 d. dėl «pirmaujančių» arba «šališkų» atsakymų Iždo generaliniame direktorate buvo nutrauktas kinų kalbos modelio testavimas.

Pokalbių robotas buvo skirtas padėti vyresniesiems pareigūnams atlikti kasdienes užduotis, įskaitant konfidencialių ar neskelbtinų duomenų tvarkymą.

Trečiadienį buvo sumontuotas naujas Prancūzijos startuolio „Mistral AI“ modelis.

Nuo 2027 m. Prancūzijos nacionalinė kibernetinio saugumo agentūra (ANSSI) nustos sertifikuoti saugumo produktus, kurie neturi kvantiniams kompiuteriams atsparių šifravimo mechanizmų.

Šis reikalavimas ypač bus taikomas produktams, skirtiems jautriems sektoriams, pavyzdžiui, gynybai, ginkluotei ir viešajam administravimui.

Įmonės iki 2030 m. gali įsigyti tik vadinamuosius «kvantiniu požiūriu saugius» sprendimus.

Perėjimo prie postkvantinės kriptografijos spartinimas taip pat buvo vienas iš pagrindinių G7 kibernetinio saugumo pogrupio, kuris susitiko Prancūzijos pirmininkavimo metu birželio pradžioje, darbo klausimų.

G7 šalių duomenų apsaugos institucijos taip pat susitiko Paryžiuje birželio 25 ir 26 dienomis CNIL kvietimu, Prancūzijos pirmininkavimo G7 metu.

Jie priėmė deklaraciją dėl privatumo nepažeidžiančių amžiaus tikrinimo mechanizmų, taip pat dokumentą dėl prijungtų objektų, kurie gerbia nepilnamečių privatumą, kūrimo.

Europoje

Europos institucijos ir įstaigos

Birželio 29 d. ES Taryba galutinai pritarė dirbtinio intelekto taisyklių supaprastinimui ir optimizavimui, numatytam Omnibuso reglamente.

Didelės rizikos sistemų taisyklių taikymas atskiroms didelės rizikos dirbtinio intelekto sistemoms atidedamas iki 2027 m. gruodžio 2 d., o į produktus integruotoms didelės rizikos dirbtinio intelekto sistemoms – iki 2028 m. rugpjūčio 2 d.

Tekste į Dirbtinio intelekto reglamentą įtraukta nuostata, draudžianti dirbtinio intelekto praktiką, susijusią su seksualinio ir intymaus turinio be sutikimo ar vaikų pornografijos kūrimu.

Nuo 2026 m. gruodžio mėn. taip pat bus uždraustos dirbtinio intelekto sistemos, kurios generuoja tikrų nuogų žmonių vaizdus arba nuima drabužius iš esamų nuotraukų, kad būtų atidengtos intymios kūno dalys.

Naujuoju reglamentu iki 2027 m. rugpjūčio 2 d. atidedamas terminas, iki kurio kompetentingos nacionalinio lygmens institucijos turi sukurti dirbtiniam intelektui skirtas reguliavimo «smėlio dėžes», ir nuo 6 iki 3 mėnesių sutrumpinamas paslaugų teikėjams skirtas laikotarpis skaidrumo sprendimams, susijusiems su dirbtinai sukurtu turiniu, įgyvendinti, o naujas terminas nustatomas 2026 m. gruodžio 2 d.

„Politico“ matytame dokumente teigiama, kad Europos Parlamento pirmininkė Roberta Metsola bando priimti prieštaringai vertinamą įstatymą dėl vaikų pornografijos internete (CSAM) filtravimo, kurį jos pačios asamblėja atmetė praėjusių metų kovą plenarinėje sesijoje.

Prezidentas paprašė Taryboje susirinkusių valstybių narių pritarti projektui, kuris leistų technologijų platformoms savanoriškai nuskaityti savo paslaugas, ieškant vaikų pornografijos turinio – klausimo, kuris kelia daug ginčų: policija ir kai kurie vaiko teisių gynėjai, taip pat keli Europos Komisijos nariai teigia, kad teisės aktų trūkumas leidžia plėšrūnams ir pedofilams nebaudžiamai veikti internete.

Tuo tarpu privatumo gynėjai ir saugumo ekspertai mano, kad šie pasiūlymai gali lemti nepriimtiną masinį stebėjimą ir šifravimo pabaigą.

2026 m. birželio 18 d. ESTT savo sprendime byloje C-484/24 – NTH Haustechnik išaiškino, kad neteisėtai gauti asmens duomenys neturėtų būti automatiškai neįtraukiami į teisminį procesą.

Teismai gali juos naudoti, jei tai yra griežtai būtina ir proporcinga jų misijos vykdymui, kartu laikydamiesi BDAR principų, ypač duomenų kiekio mažinimo.

Tačiau ši galimybė nepadaro pradinio informacijos rinkimo teisėtu ir neatleidžia jos autoriaus nuo galimų duomenų apsaugos taisyklių pažeidimų.

Europos duomenų apsaugos valdyba (EDPB) birželio 10 d. patvirtino duomenų saugumo pažeidimo pranešimo modelį.

Šį modelį pirmiausia ketina įdiegti APD naudodami kompiuterinę priemonę.

Modelis yra viešų konsultacijų objektas, todėl suinteresuotosioms šalims suteikiama galimybė iki rugpjūčio 5 d. pasidalyti savo komentarais ir atsiliepimais apie jo turinį.

Nuo rugpjūčio 3 d. „Google“ naudos Europos ekonominėje erdvėje, Jungtinėje Karalystėje ir Šveicarijoje esančių interneto vartotojų IP adresus, kad matuotų ir suasmenintų skelbimus.

Nors „Google“ jau renka šiuos duomenis dėl techninių priežasčių, jų naudojimas kinta: IP adresas dabar gali būti naudojamas įrenginiams identifikuoti reklamos tikslais.

Šiai praktikai, kuriai taikomas BDAR, reikės vartotojo sutikimo, kuris turėtų būti integruotas į mechanizmus, jau naudojamus reklamos nuostatoms ir slapukams valdyti.

Naujienos iš Europos Sąjungos šalių narių.

Birželio 18 d. Belgijos ir Ispanijos duomenų apsaugos institucijos (DAI) kartu paskelbė vaizdo žaidimų sektoriaus rekomendacijas ir geriausios praktikos pavyzdžius.

Šis bendradarbiavimas kyla iš valdžios institucijų nustatyto poreikio reguliuoti sektorių, kuriame visame pasaulyje yra daugiau nei 3 milijardai vartotojų ir kuriame naudojamos įkyrios technologijos.

Dokumente analizuojama dažniausiai vaizdo žaidimuose atliekama asmens duomenų tvarkymo veikla, nustatomos su jais susijusios grėsmės ir rizika, pateikiamos rekomendacijos ir geriausios praktikos pavyzdžiai.

Kroatijoje APD skyrė baudą nekilnojamojo turto agentūrai už klientų duomenų saugojimą viršijant tvarkymo tikslą, asmens tapatybės dokumentų ir banko kortelių kopijų saugojimą be teisinio pagrindo ir nepakankamą darbuotojų mokymą apie asmens duomenų tvarkymą.

Ispanijos duomenų apsaugos agentūra (APD) birželio 8 d. paskelbė gaires dėl kamerų naudojimo slaugos namuose, siekiant suderinti priežiūrą ir privatumą.

Taip pat bendrovė „Vodafone España“ skyrė 1 050 000 eurų baudą po to, kai trečiajai šaliai pavyko apeiti saugumo kontrolę, kad gautų kliento sąskaitą su neteisėtu el. pašto adresu ir sukurtų antrą mobiliojo ryšio liniją, sukčiaujant užregistruotą skundo pateikėjo vardu.

Galiausiai bendrovė „CaixaBank“ skyrė 500 000 eurų baudą už sisteminius duomenų apsaugos trūkumus po pakartotinių saugumo pažeidimų.

Institucija konkrečiai paprašė banko pagerinti pažeidimų aptikimo pajėgumus ir sustiprinti procedūras, skirtas nustatyti incidento atveju susijusius asmenis ir duomenis.

Airijos duomenų apsaugos tarnyba (DPA) skyrė 300 000 eurų baudą Sveikatos priežiūros vykdomajai įstaigai (HSE) – viešajai sveikatos priežiūros tarnybai – po 2018 m. įvykdytos išpirkos reikalaujančios programinės įrangos kibernetinės atakos, per kurią buvo pavogti maždaug 84 000 pacientų asmens duomenys.

Tyrimo metu padaryta išvada, kad HSE neįgyvendino pakankamų techninių ir organizacinių saugumo priemonių, neturėjo BDAR reikalavimus atitinkančios dokumentacijos ir tinkamai neprižiūrėjo savo subrangovų.

Be baudos, Duomenų apsaugos komisija (DPC) įpareigojo HSE tvariai stiprinti savo duomenų saugumo politiką ir procedūras.

Norvegijos duomenų apsaugos tarnyba (APD) skyrė 20 mln. Norvegijos kronų administracinę baudą bendrovei „Elkjøp“, visų pirma už galiojančio sutikimo tvarkyti asmens duomenis jos lojalumo klubo kontekste nebuvimą, nepakankamą naujų tvarkymo tikslų vertinimą ir neatsakymą į duomenų subjektų prašymus per BDAR numatytus terminus.

Tarptautiniu mastu

Jungtinėje Karalystėje tiriamas Derbišyro policijos pareigūnas, apkaltintas dirbtinio intelekto naudojimu įrodymams klastoti keliose teismo bylose.

Pareigūnai šiuo metu peržiūri potencialiai svarbius dokumentus, o pats pareigūnas nušalintas nuo operatyvinių pareigų.

Ši byla, kuri gali būti rimtas teisingumo piktnaudžiavimas, iškyla tuo metu, kai Britanijos policijos pajėgos vis labiau naudoja dirbtinį intelektą, vėl pakurstydamos diskusijas apie riziką ir būtinybę griežtai reguliuoti šias technologijas.

Neseniai kelių policijos departamentų buvo paprašyta sustabdyti tam tikrus dirbtinio intelekto naudojimo atvejus, ypač rengiant teismų dokumentus, dėl faktinių klaidų.

Jungtinėje Karalystėje nuo birželio 19 d. organizacijos, kurioms taikomi Britanijos duomenų apsaugos teisės aktai, taip pat privalo įdiegti procedūrą, leidžiančią fiziniams asmenims pateikti skundus dėl savo asmens duomenų.

Prieš kreipdamiesi į Informacijos komisaro biurą, asmenys pirmiausia turi pateikti savo skundą atitinkamai organizacijai.

Kinijoje liepos 15 d. įsigalios laikinosios priemonės, susijusios su antropomorfinių interaktyvių paslaugų, pagrįstų dirbtiniu intelektu, valdymu.

Šis reglamentas reglamentuoja sparčiai besiplečiantį dirbtiniu intelektu pagrįstų virtualių kompanionų ir emocinės paramos robotų sektorių.

Šių paslaugų teikėjai visų pirma turės aiškiai informuoti vartotojus, kad jie bendrauja su dirbtiniu intelektu, įdiegti emocinės priklausomybės prevencijos mechanizmus, aptikti kančios ar rizikos situacijas, apsaugoti nepilnamečius ir apriboti jų prieigą prie virtualių kompanionų.

Jie taip pat turės laikytis valdymo reikalavimų, pavyzdžiui, registruoti savo algoritmus, tam tikrais atvejais atlikti saugumo vertinimus ir įgyvendinti duomenų apsaugos bei rizikos valdymo priemones.

Iberijos ir Amerikos duomenų apsaugos tinklas (RIPD) priėmė informacinį dokumentą, kuriuo siekiama sustiprinti apsaugos priemones, taikomas tvarkant «neuroduomenis», kurie gaunami naudojant technologijas, galinčias matuoti arba daryti išvadas apie smegenų veiklą.

Tekste rekomenduojama sustiprinti šių duomenų apsaugą, padidinti jų naudojimo ir veikimo skaidrumą, taip pat apriboti ar net uždrausti tam tikrus naudojimo būdus, kurie laikomi nesuderinamais su pagrindinėmis teisėmis, ypač kai jais siekiama manipuliuoti elgesiu ar išnaudoti pažeidžiamus žmones.

„Anthropic“ išmontavo du galingiausius dirbtinio intelekto modelius.

Remdamasis «nacionalinio saugumo» problemomis, Vašingtonas pareikalavo, kad dirbtinio intelekto srityje besispecializuojanti amerikiečių startuolis apribotų prieigą prie „Claude Fable 5“ ir „Mythos 5“ tik Amerikos piliečiams.

„Anthropic“ teigimu, šio prašymo įgyvendinti neįmanoma. Gegužės 22 d. „Anthropic“ paskelbė apie savo „Glasswing“ projektą, teigdama, kad jos kibernetinio saugumo dirbtinio intelekto modelis „Mythos“ aptiko daugiau nei 10 000 pažeidžiamumų plačiai naudojamoje atvirojo kodo programinėje įrangoje ir projektuose.