Datu aizsardzība pilnā sparā

Juridiskā uzraudzība Nr. 20 – 2020. gada 10. februāris

Lūk, ko mēs atceramies no šī jaunā gada pirmajām nedēļām ar daudzajām debatēm nozīmīgu notikumu laikā:

• Starptautiskā datu aizsardzības diena šī gada 28. janvārī
• Starptautiskā datu aizsardzības konference, ko iepriekšējā nedēļā Briselē organizēja akadēmiskais sektors, un
• Starptautiskais kiberdrošības forums Lillē janvāra pēdējās dienās.

Februāris netiks izlaists, jo Parīzē notiks Starptautiskās datu aizsardzības speciālistu asociācijas (IAPP) organizētā "intensīvās datu aizsardzības" konference.

Starp daudzajām aplūkotajām tēmām izceļas divas: debašu saasināšanās par sejas atpazīšanu un ļoti mazu uzņēmumu un mazo un vidējo uzņēmumu īpašā situācija saistībā ar GDPR.

Sejas atpazīšana ir apšaubāma

Janvāra beigās drošinātāju aizdedzināja Eiropas Komisijas baltajā grāmatā izvirzītā hipotēze par moratorijs par sejas atpazīšanu sabiedriskās vietās.

Šis dokuments projekta stadijā nebija paredzēts izplatīšanai, un Komisija kopš tā laika ir paziņojusi, ka tā atsakās no moratorija iespējas un piešķir prioritāti citiem regulējuma virzieniem.

Viņa prezentēs savu referātu par mākslīgo intelektu 19. februārī.

Ideja par stingrāku cilvēku automātiskas atzīšanas regulēšanu vai pat aizliegšanu noteiktās vietās, iegūst savu vietu gan regulatoru vidū, gan privātajā un publiskajā sektorā un pat ārpus Eiropas.

Par šo tēmu ir izteikušies arī Eiropas Datu aizsardzības uzraudzītājs (EDAU) un Eiropas Padomes Datu aizsardzības komisārs.

Arī Eiropas Datu aizsardzības kolēģija (EDPB) risina šo jautājumu savās jaunākajās vadlīnijās, kas tika pieņemtas janvāra beigās.

Arvien vairāk pilsētu, piemēram, Sanfrancisko un Kembridža, ir aizliegušas šo tehnoloģiju savās publiskajās telpās.

Datu potenciālie izmantošanas veidi rada tādu nenoteiktību, ka arī tādi tehnoloģiju giganti kā Microsoft aicina pēc lielākas skaidrības.

Starp izvirzītajiem argumentiem mēs jo īpaši atzīmējam diskriminācijas riski pamatojoties uz etnisko izcelsmi un citiem aizspriedumiem, kas noved pie pārāk daudz "viltus pozitīviem" rezultātiem.

Pilnīgas publiskas telpas novērošanas perspektīva rada arī jautājumus, ņemot vērā pašreizējās datu vākšanas iespējas: mēs domājam par Clearview datubāzi, uzņēmumu, kas uzglabā visos sociālajos tīklos pieejamas sejas, lai tās pārdotu tiesībaizsardzības iestādēm Amerikas Savienotajās Valstīs, un kas nonāca ziņu virsrakstos šī gada sākumā.

Jāuzsver arī problēmas starptautiskais aspekts.

To apliecina nesen Eiropas līmenī uzdotais parlamentārais jautājums par Serbijā izstrādāto projektu "Droša pilsēta", kura pamatā ir Ķīnas sejas atpazīšanas tehnoloģija. 

Ļoti mazu uzņēmumu un MVU situācija

Debatēs, kas janvārī notika dažādu pasākumu laikā, tika izceltas galvenās problēmas, ar kurām saskaras (ļoti) mazie un vidējie uzņēmumi.

Ja tie pārstāv lielāko daļu no Eiropas ekonomikas, viņi ir vistrūcīgākie risinot jautājumus par savas IT platformas drošību, mākoņpakalpojumu izmantošanu, ārpakalpojumiem un pašnovērtējuma rīku (auditu) izmantošanu.

Saskaroties ar šiem jautājumiem, vairākas iniciatīvas ir ieraudzījuši dienasgaismu. 

ENISA (Eiropas Savienības Kiberdrošības aģentūra) 28. janvārī atklāja tiešsaistes platformu, lai palīdzētu uzņēmumiem, jo īpaši MVU, aizsargāt savus datus.

Ir arī divas iniciatīvas, kuru mērķis ir palīdzēt tīmekļa vietņu izstrādātājiem: CNIL rokasgrāmata un EDRI organizācijas rokasgrāmata, kuru mērķis ir atbalstīt vietņu izstrādi atbilstoši GDPR.

Lai gan droša (un ideālā gadījumā Eiropas) mākoņa izvēle joprojām ir sarežģīta, ir vērts atzīmēt Eiropas regulatoru centienus šajā sakarā. Piemēram, Microsoft tikko pēc EDAU un Nīderlandes spiediena ir grozījis Office 365 līguma nosacījumus, lai tie atbilstu GDPR.

Un arī:

Francijā:

Kā paziņots, CNIL 2020. gada 14. janvārī publicēja ieteikuma projektu parsīkfailu un citu izsekotāju izmantošana.

Tā mērķis ir precizēt piekrišanas saņemšanas nosacījumus un iekļaut konkrētus paziņojumu interneta lietotājiem piemērus. Teksts ir atvērts apspriešanai līdz 25. februārim.

Eiropā:

Tur Apvienotās Karalistes izstāšanās no Eiropas Savienības būs sekas datu pārsūtīšanai.

Tomēr būs bez izmaiņām 2020. gadā, pārejas gads, kura laikā Eiropas Komisija izvērtēs Apvienotās Karalistes piedāvāto aizsardzības līmeni, lai pieņemtu iespējamu lēmumu par atbilstību. 

ICO (Lielbritānijas uzraudzības iestādes) un CNIL preses relīzēs ir norādīti šie elementi.

Starptautiskās:

• ASV Pēc tam, kad 2020. gada sākumā stājās spēkā Kalifornijas Patērētāju privātuma likums, ir pienākusi Vašingtonas štata kārta sagatavot privātuma likumprojektu.

• Indonēzija : a datu aizsardzības likums tika iesniegts parlamentā 28. janvārī. Tā jaunākā versija, kas datēta ar 2019. gada 6. decembri, un kuras pamatā ir GDPR, attiecas gan uz publisko, gan privāto sektoru.

Atgādinām, ka to valstu saraksts, kuru likumus Eiropas Savienība uzskata par atbilstošiem, tādējādi atvieglojot datu pārsūtīšanu uz šīm valstīm, ir pieejams šeit.

• Andora,
• Argentīna,
• Kanāda (komerciālas organizācijas),
• Fēru salas,
• Gērnsija,
• Izraēla,
• Menas sala,
• Japāna,
• Džērsija,
• Jaunzēlande,
• Šveice,
• Urugvaja un
• Amerikas Savienotās Valstis (ierobežoti ar Privātuma vairoga regulējumu)

Anna Kristīna Lakoste

Olivier Weber Avocat partnere Anna Kristīne Lakosta ir juriste, kas specializējas datu tiesībās; viņa bija Eiropas Datu aizsardzības uzraudzītāja starptautisko attiecību vadītāja un strādāja pie GDPR ieviešanas Eiropas Savienībā.