DSA – DMA: divi Eiropas digitālās stratēģijas pīlāri.

Juridiskā uzraudzība Nr. 46 — 2022. gada aprīlī

DSA – DMA: divi Eiropas digitālās stratēģijas pīlāriKopš politiskās vienošanās noslēgšanas naktī no 22. uz 23. aprīli, DSA jeb Digitālo pakalpojumu likums digitālajā pasaulē ir bijis daudzu komentāru objekts.

Šis digitālo pakalpojumu tiesību akts kopā ar digitālo tirgu tiesību aktiem (Digitālo tirgu likums) faktiski ir Eiropas sistēmas centrā, ko Eiropas Komisija prezentēja 2020. gada 15. decembrī.

Šīs stratēģijas mērķis ir radīt vienlīdzīgākus konkurences apstākļus un padarīt tiešsaistes platformas atbildīgākas par to publicēto saturu.

DSA mērķis ir padarīt digitālo vidi pārredzamāku un drošāku, definējot digitālo pakalpojumu sniedzēju pienākumus.

Tas papildinās Eiropas direktīvu par e-komerciju un citus tekstus, piemēram, "platformu un uzņēmumu" regulu, kā arī konkrētajām nozarēm paredzētos noteikumus, kas regulē, piemēram, tiešsaistes naida runas, terorisma, diskriminācijas vai autortiesību ierobežošanu.

DSA attieksies uz tādām platformām kā meklētājprogrammas, sociālie mediji vai e-komercijas platformas. 

Šis teksts bija daudzu debašu un spiediena objekts gan no pilsoniskās sabiedrības puses, kas pieprasīja pietiekami plašu piemērošanas jomu, gan no digitālās ekonomikas dalībnieku puses, kuru pieprasījumi bija pretēji.

Jo īpaši radās jautājums par "tumšo rakstu" un citu mehānismu, kuru mērķis ir ietekmēt apmeklētāju uzvedību, regulēšanas apjomu (sk. mūsu vēstuli Nr. 45).

Šķiet, ka panāktā politiskā vienošanās nodrošina līdzsvaru starp hipercentralizētas platformu ekonomikas kontroli, no vienas puses, un pamattiesību, vārda brīvības un indivīdu nediskriminācijas ievērošanu, no otras puses.

Īpaši jāatzīmē šādi elementi:

• Tiesiskās aizsardzības mehānismam vajadzētu ļaut personām, kuras ir identificējušas potenciāli nelegālu saturu, saņemt atbildi no satura uzturētāja saskaņā ar pārredzamu procedūru un nepārvēršot pēdējo par policijas palīgdienestiem.

• Mērķtiecīga reklāma tiks ierobežota, neizmantojot sensitīvus lietotāju datus.
• Tiks aizliegti arī tumši raksti — sīkfailu iekļaušana šajā aizliegumā nav skaidra.
• Krīzes reaģēšanas mehānisms, kas tika ieviests saistībā ar karu Ukrainā, ļauj Komisijai, konsultējoties ar valstu regulatoriem, izsludināt digitālo ārkārtas stāvokli.

Ņemiet vērā, ka šie pasākumi attiecas uz platformām, un tāpēc situācija kopumā nemainās attiecībā uz tīmekļa vietnēm.

Tomēr uz tiem joprojām attiecas GDPR un Eiropas elektronisko komunikāciju direktīvas noteikumi.

DMA papildina digitālo stratēģiju, īpaši vēršoties pie digitālo tirgu "piekļuves kontrolieriem" jeb "vārtu sargiem". kuriem ir spēcīga ekonomiskā pozīcija Eiropas Savienībā un kuri savieno plašu lietotāju bāzi ar lielu skaitu uzņēmumu.

25. martā par šo tekstu tika panākta arī politiska vienošanās, kas precizēja DMA darbības jomu: koncepcija aptver digitālos tirgus, lietojumprogrammu veikalus, meklētājprogrammas, sociālos tīklus, mākoņpakalpojumus, reklāmas pakalpojumus, balss asistentus un tīmekļa pārlūkprogrammas.

DMA mērķis ir nodrošināt, lai šīs platformas tiešsaistē rīkotos godīgi.

Piemēram, tiem būs jānodrošina savu tūlītējās ziņojumapmaiņas pakalpojumu pamatfunkciju sadarbspēja.

Turklāt viņi vairs nevarēs:

• Savu produktu vai pakalpojumu reklamēšana, kaitējot citu produktiem vai pakalpojumiem (pašatsauces)
• Atkārtoti izmantot viena pakalpojuma laikā apkopotos privātos datus cita pakalpojuma vajadzībām
• Radīt negodīgus nosacījumus profesionāliem lietotājiem
• Iepriekšinstalēt noteiktas programmatūras lietojumprogrammas
• Prasība lietotņu izstrādātājiem izmantot noteiktus pakalpojumus (piemēram, maksājumu sistēmas vai identitātes nodrošinātājus), lai tie tiktu uzskaitīti lietotņu veikalos.

Tomēr ir vērts atzīmēt bažas, ko kopš tā laika pauduši vairāk nekā 40 konkurences un datu aizsardzības nozares pārstāvji: 21. aprīļa nedēļā viņi publicēja vēstuli, kurā paskaidroja savas bažas par pārāk neskaidru tekstu, kas ļautu attiecīgajiem uzņēmumiem apvienot visus to rīcībā esošos datus, izmantojot vienu piekrišanu, lai gan GDPR pieprasa juridisko pamatu katram veiktās apstrādes veidam.

DMA, tāpat kā DSA, vēl nav galīgie varianti: pirms pieņemšanas tie ir jāapstiprina Eiropas Parlamenta plenārsēdē.

Tikmēr, ņemot vērā likmes, Eiropa netērē laiku: tiek ziņots, ka tā plāno atvērt biroju Sanfrancisko, lai sadarbotos ar Silīcija ielejas tehnoloģiju gigantiem – tiem pašiem uzņēmumiem, kas saskaņā ar jaunajiem digitālajiem noteikumiem tiks pakļauti stingrai kontrolei.

Un arī

Francija:

• Sciences Po žurnālistikas skolas aprīļa vidū publicēts pētījums liecina, ka 184 Francijas valsts pārvaldes vietnes izmanto Google Analytics, neskatoties uz CNIL un tās kolēģu uzsvērušajām sekām attiecībā uz pārskaitījumiem uz Amerikas Savienotajām Valstīm.

Šīs vietas ietver Valsts padomes, muitas un prezidentūras vietas.

• CNIL publicē resursus par mākslīgo intelektu dažādām auditorijām : profesionāļiem — principu atgādinājums, CNIL nostāja un pašnovērtējuma rokasgrāmata; plašai sabiedrībai — resursi, lai labāk izprastu šo jautājumu; visbeidzot, speciālistiem — informācija un pētījumi par aktuālajiem jautājumiem un jaunāko informāciju.
• Aprīļa sākumā CNIL mainīja savas represīvās procedūras un izveidoja vienkāršotu procedūru. mazāk sarežģītos gadījumos: kolēģijas sēde vai publiska sesija netiek rīkota, izņemot pēc attiecīgās organizācijas pieprasījuma.

Šajā kontekstā piemērojamās sankcijas ir ierobežotas: brīdinājumi, naudas sodi līdz 20 000 eiro un aizliegums ar soda naudu, kas nepārsniedz 100 eiro par katru kavējuma dienu.

Šīs sankcijas netiek publiskotas.

• 2022. gada 15. aprīlī CNIL ierobežotās darbības komiteja izdeva 1,5 miljonu eiro sods uzņēmumam Dedalus Biologie par drošības trūkumiem, kas noveda pie gandrīz 500 000 cilvēku medicīnisko datu noplūdes.

Programmatūras migrācijas operāciju laikā tika konstatētas tehniskas un organizatoriskas drošības nepilnības.

Eiropa:

Eiropas Komisija uzsāka savu priekšlikums par Eiropas veselības datu telpu (EHDS).

Priekšlikuma mērķis ir gan atvieglot iedzīvotāju piekļuvi saviem veselības datiem elektroniskā formātā, gan koplietot tos ar citiem veselības aprūpes speciālistiem ES, vienlaikus ievērojot stingrus nosacījumus, ļaujot piekļūt šiem datiem pētniekiem, novatoriem, valsts iestādēm vai uzņēmumiem.

Katrai dalībvalstij būs jāizraugās digitālās veselības iestāde, kas piedalīsies pārrobežu digitālajā infrastruktūrā (MyHealth@EU).

Eiropas Datu aizsardzības kolēģija (EDAK)

• 2022. gada 6. aprīlī Eiropas Datu aizsardzības kolēģija (EDAK) publicēja paziņojums par transatlantiskā datu aizsardzības regulējuma projektu.

Šis paziņojums seko principiālajai vienošanās starp Eiropas Komisiju un Amerikas Savienotajām Valstīm, kas tika paziņota 2022. gada 25. martā.

EDAK norāda, ka šis paziņojums neveido juridisku regulējumu, uz kura datu eksportētāji varētu balstīt savu datu pārsūtīšanu.

Tām ir jāturpina īstenot darbības, kas nepieciešamas, lai jo īpaši ievērotu Eiropas Savienības Tiesas nolēmumu Šrems II lietā.

• EDAK 28. aprīlī publicēja arī kopējo nostāju attiecībā uz sadarbība starp datu aizsardzības iestādēm kontroles jautājumos atbilstība GDPR.

Dokumentā ir apstiprināta datu aizsardzības iestāžu vēlme stiprināt savu sadarbību, nosakot stratēģiski svarīgus pārrobežu jautājumus, veicinot kopīgas izmeklēšanas, informācijas apmaiņu un uzlabojot noteiktus procedūras noteikumus.

Eiropas datu aizsardzības uzraudzītājs (EDAU)

THE Eiropas datu aizsardzības uzraudzītājs (EDAU) 16. un 17. jūnijā Briselē organizē konferenci, kas veltīta atbilstībai GDPR digitālajā pasaulē.

CPDP

Jāatzīmē arī ikgadējā CPDP (Datori, privātums un datu aizsardzība) akadēmiskā konference, kas šogad pārcelta uz 23.–25. maiju. Programma ir veidota ap tēmu "Inteliģento mašīnu laikmets".

Eiropas Parlaments

19. aprīlī Pegasus izmeklēšanas komisija Eiropas Parlaments ir uzsācis savu darbu.

Komisijai ir divpadsmit mēneši laika, lai sagatavotu ziņojumu par spiegprogrammatūru, ko vairākas valdības izmanto, lai izspiegotu daudzas publiskas personas, politiķus, žurnālistus un aktīvistus.

Eiropas Savienības Tiesa

Divas svarīgas pieturas Eiropas Savienības Tiesa pagājušajā mēnesī tika publicēti:

• 5. aprīlī Tiesa apstiprināja savu judikatūru, ka elektronisko sakaru datus (tostarp atrašanās vietas datus) nevar saglabāt vispārīgi un nediferencēti, lai apkarotu smagus noziegumus.
• 28. aprīlī Tiesa nepārprotami atzina, ka patērētāju tiesību aizsardzības asociācijas var celt pārstāvības prasības pret personas datu aizsardzības pārkāpumiem neatkarīgi no datu subjekta tiesību uz datu aizsardzību faktiskā pārkāpuma un ja nav pilnvarojuma to darīt.

Spānijas Datu aizsardzības iestāde uzlika 1500 eiro naudas sodu personai, kura uzstādīja videonovērošanas kameru, kas bija vērsta pret publisko ceļu un privātmāju tuvumā, bez informatīva plakāta un pārkāpjot GDPR 5. panta 1. punkta c) apakšpunktu un 13. pantu.

Nīderlandes Datu aizsardzības aģentūra (DPA) ir piespriedusi Ārlietu ministrijai 565 000 eiro sodu. par nepietiekamiem drošības pasākumiem un atbilstošas informācijas trūkumu attiecīgajām personām vīzu pieteikumu kontekstā.

Ungārijas datu aizsardzības iestāde ir piespriedusi bankai 670 000 eiro lielu sodu par mākslīgā intelekta nelikumīgu izmantošanu.Banka veica klientu apkalpošanas audioierakstu automātisku analīzi.

Dānijas Datu aizsardzības iestāde ir piemērojusi Danske Bank 1 345 000 eiro sodu par datu saglabāšanas un dzēšanas procedūru neievērošanu. vairāk nekā 400 datorsistēmās, kurās iesaistīti vairāki miljoni cilvēku. Lieta ir arī policijas izmeklēšanas priekšmets.

Beļģijā DPA uzlika 200 000 eiro sodu Briseles Zaventem lidostai un 100 000 eiro sodu Briseles Dienvidu Šarleruā lidostai. par pasažieru temperatūras pārbaudēm, kas veiktas cīņas pret COVID-19 ietvaros bez derīga juridiska pamata.

Starptautiskās:

Pastāv bažas par viedās skaļruņu klausīšanās un ierakstīšanas iespējām.

Aprīļa beigās publicētā akadēmiskā pētījumā ir sīki aprakstīts, kā Amazon izmanto Alexa apkopotos datus reklāmas mērķauditorijas atlases nolūkos, un šo datu vērtība, kas tiek pārdoti tālāk par trīsdesmit reizēm augstāku cenu nekā citi dati.

Aprīļa vidū Īrijas cilvēktiesību komisārs pauda tādas pašas atrunas tieslietu ministram, šoreiz attiecībā uz šo datu atkārtotu izmantošanu policijas izmeklēšanu kontekstā.

21. aprīlī ASV valsts sekretāre Džīna M. Raimondo nāca klajā ar paziņojumu par “Globālā CBPR foruma” izveidi.

Šī foruma mērķis ir atvieglot personas datu un komercdarbību nosūtīšanu starp Amerikas Savienotajām Valstīm, Kanādu, Japānu, Korejas Republiku, Filipīnām, Singapūru un Taivānu.

Ņemiet vērā, ka CBPR (pārrobežu privātuma noteikumi) pastāv jau aptuveni desmit gadus, un sertificēti uzņēmumi galvenokārt atrodas Amerikas Savienotajās Valstīs.

ESAO plāno izstrādāt sistēmu uzticamai valdības piekļuvei privātā sektora datiem.

Šī tēma ir viena no starptautiskās organizācijas prioritātēm 2022. gadā, līdzās datu lokalizācijai un personas datu starptautiskai pārsūtīšanai.

Anna Kristīna Lakoste

Olivier Weber Avocat partnere Anna Kristīne Lakosta ir juriste, kas specializējas datu tiesībās; viņa bija Eiropas Datu aizsardzības uzraudzītāja starptautisko attiecību vadītāja un strādāja pie GDPR ieviešanas Eiropas Savienībā.