GDPR gadu vēlāk: kādas mācības un kādas perspektīvas?

Juridiskā uzraudzība – 2019. gada jūnijs.

2018. gada 25. maijā stājās spēkā Vispārīgā datu aizsardzības regula.

Šis jaunais teksts ir ieviesis daudzas izmaiņas uzņēmējdarbības praksē gan iekšējās organizācijas līmenī, gan kontaktos ar klientiem.

Lai gan datu aizsardzība ir nostiprināta tiesiskajā regulējumā kopš 1978. gada Francijā un 1995. gada Eiropas līmenī, šī regula ir devusi jaunu impulsu jautājumam, kas ir gan cilvēktiesības, gan ekonomisks jautājums. Un jaunajā tekstā paredzētie finansiālie sodi tam nav sveši.

Kāda ir praktiskā situācija atbilstības jomā, CNIL un tās Eiropas partneru rīcība?

Francijā ir ievērojami pieaudzis sūdzību, drošības paziņojumu un informācijas pieprasījumu skaits, kas adresēts CNIL. Maija beigās uzraudzības iestāde publicēja statistikas ziņojumu par šo pirmo gadu, kurā ziņots par vairāk nekā 11 900 sūdzībām (+30 %) un 2044 paziņojumiem par datu noplūdēm. CNIL arī turpina izmeklēt daudzus gadījumus, no kuriem daži tiek veikti sadarbībā ar Eiropas kaimiņvalstīm. Tādējādi tā ir iesaistīta 800 starptautiskās procedūrās.

Atbalstot uzņēmumus to atbilstības centienos, CNIL ir noteikusi arī daudzas sankcijas. Aplūkosim dažas no tām tuvāk:

• Visiespaidīgākā sankcija neapšaubāmi ir tā, kas tika piemērota uzņēmumam Google, rekordlielā apmērā — piecdesmit miljonu eiro.

• Divas citas, daudz pieticīgākas sankcijas tomēr ir pelnījušas īpašu uzmanību, jo tās tika iesniegtas Valsts padomē, kas izvērtēja to samērīgumu.

• Vienā no 2019. gada 17. aprīļa lietām Valsts padome atstāja spēkā 75 000 eiro sodu: pēc oficiāla paziņojuma un vairākiem atkārtotiem CNIL pieprasījumiem Adef (Māju attīstības asociācija) joprojām nebija novērsusi drošības trūkumu, kas ļāva tiešsaistē piekļūt mājokļu pretendentu dokumentiem. Laiks, kas asociācijai bija nepieciešams nepieciešamo korektīvo pasākumu ieviešanai, bija viens no noteicošajiem faktoriem Valsts padomei.

• Otrajā lietā, kas arī datēta ar 2019. gada 17. aprīli, Valsts padome samazināja CNIL uzliktā soda apmēru uzņēmumam Optical Center: uzņēmums divu dienu laikā pēc CNIL paziņojuma faktiski bija novērsis drošības trūkumu, kas ļāva piekļūt klientu rēķiniem, izmantojot tā tīmekļa vietni. Sods tika samazināts no 250 000 līdz 200 000 eiro.

• Šo īso inventarizāciju noslēgsim ar jaunāko sankciju, kas noteikta 2019. gada 13. jūnijā, kas šoreiz ir nozīmīga, jo attiecas uz ļoti mazu uzņēmumu: uzņēmums Uniontrad bija izveidojis videonovērošanas sistēmu, kas pastāvīgi uzraudzīja tā darbiniekus.

Šajā gadījumā CNIL arī divas reizes brīdināja uzņēmumu, pirms oficiāli lika tam mainīt savu praksi, taču līdz noteiktā termiņa beigām nepieciešamie pasākumi netika veikti. 18. jūnijā CNIL, ņemot vērā uzņēmuma lielumu un finansiālo stāvokli, piesprieda administratīvu sodu 20 000 eiro apmērā.

No šīm dažādajām lietām izrietošais secinājums ir tāds, ka gan starptautiskiem uzņēmumiem, gan mazākiem uzņēmumiem vai asociācijām, visticamāk, tiks piemērotas sankcijas. Turklāt visos lēmumos ir uzsvērta datu pārziņa reaģēšanas nozīme pārkāpuma atklāšanas gadījumā un šīs reaģēšanas ietekme uz jebkuras iespējamās sankcijas apmēru.

Kā ar mūsu Eiropas kaimiņiem?

Visi rādītāji liecina par sūdzību un datu aizsardzības iestāžu veikto izmeklēšanu skaita pieaugumu, kā arī sankciju apmēra pieaugumu.

Visās Eiropas Ekonomikas zonas datu aizsardzības iestādēs ir nedaudz vairāk par 280 000 lietu, tostarp aptuveni 144 000 sūdzību un 89 drošības pārkāpumu. Maija beigās 371 datu aizsardzības iestāde atradās izmeklēšanas stadijā.

Vācijas konsultāciju firmas atjauninātā iniciatīva uzskaitīt dažādas sankcijas Eiropas līmenī sniedz vispārēju ieskatu uzraudzības iestāžu darbībā: https://www.enforcementtracker.com.

Vislielākos sodus, papildus CNIL noteiktajam sodam pret Google, piemēroja Portugāle, kas slimnīcai uzlika 400 000 eiro lielu sodu par pacientu datu neaizsargāšanu; CNIL atkal uzlika 400 000 eiro lielu sodu nekustamā īpašuma aģentūrai; un Spānija par viedtālruņa lietotni, kas slepeni izmanto personu tālruņu mikrofonus. Spānijas profesionālā futbola līga par šo pārkāpumu tika sodīta ar 250 000 eiro lielu sodu, un tā ir pārsūdzējusi šo lēmumu.

Virzība uz valsts iestāžu koordināciju ārpus GDPR?

Ievērojams jauns notikums ir saistīts ar valsts iestāžu sadarbību, kuras mērķis ir palielināt to saskaņotību un efektivitāti. Šīs iniciatīvas jo īpaši attiecas uz datu aizsardzības iestādēm, tām, kas ir atbildīgas par konkurences jautājumiem, un tām, kas ir atbildīgas par patērētāju aizsardzību.

Diskusijas, ko 2016. gadā uzsāka Eiropas Datu aizsardzības uzraudzītājs "digitālās informācijas apmaiņas centra" projekta ietvaros, tagad vada akadēmiskā aprinda, un tās atbalsta Eiropas Parlamenta rezolūcija.

Projekts tagad apvieno iestādes gan no Eiropas, gan citiem kontinentiem. Izveidotās sinerģijas koncentrējas uz personu aizsardzību digitālās ekonomikas un "lielo datu" kontekstā. 2019. gada 5. jūnija sanāksmē pulcējās 25 uzraudzības iestādes no Eiropas Savienības un citām valstīm. Tika apspriesti divi svarīgi jautājumi, kas saistīti ar Facebook un Microsoft. Iestādes savās diskusijās koncentrējas arī uz pakalpojumu izstrādi ar nemonetāru kompensāciju. Citiem vārdiem sakot, cik lielā mērā mēs varam pieņemt, ka personas maksā ar saviem datiem apmaiņā pret digitālo pakalpojumu?

Konkrētas vadlīnijas par šo jautājumu ir gaidāmas rudenī pēc nākamās uzraudzības iestāžu sanāksmes. Ņemot vērā digitālās ekonomikas izaicinājumus, tas varētu būt nozīmīgs solis uz priekšu.

Un arī:

• Francijā: CNIL publicē tiešsaistē jaunu sava rīka versiju, kuras mērķis ir palīdzēt datu pārzinim veikt ietekmes analīzes (AIPD).

• Eiropā Virzībā uz stingrāku elektroniskās izpētes noteikumu interpretāciju? Vairākas uzraudzības iestādes ir paziņojušas, ka pārskata savu interpretāciju attiecībā uz datu subjektu piekrišanas iegūšanu un sīkdatnēm. Starp tām ir Beļģija, Francija, Apvienotā Karaliste un Nīderlande. Jāatzīmē, ka Eiropas Datu aizsardzības kolēģija 2018. gada maija preses relīzē jau bija skaidri lēmusi pret "sīkdatņu sienu" izmantošanu, kas piekļuvi tīmekļa vietnei padara atkarīgu no apmeklētāju piekrišanas.

• pasaulē: Lai novērtētu nepieciešamību pēc likuma, kas regulētu algoritmus, ASV Senāta Tirdzniecības komiteja 25. jūnija uzklausīšanā izskatīja, kā tādi uzņēmumi kā Google, YouTube un Facebook izmanto mākslīgo intelektu, lai ietekmētu