Ceļā uz datu aizsardzības Eiropu: ceļš ir garš.

Juridiskā uzraudzība Nr. 36 — 2021. gada jūnijs

Ceļā uz datu aizsardzības Eiropu: ceļš ir garšVispārīgā datu aizsardzības regula, stājoties spēkā, radīja daudzas cerības attiecībā uz skaidrību un efektivitāti.

Lai gan Eiropas direktīva, ko tā aizstāja, jau nodrošināja relatīvi precīzu un saistošu tiesisko regulējumu, GDPR mērķis bija nodrošināt šo principu saskaņotu īstenošanu neatkarīgi no attiecīgo uzņēmumu atrašanās vietas Eiropas Savienībā.

Uzraudzības iestādēm, izmantojot saskaņotu analīzes režģi, bija jāizvērtē arī piemērojamās sankcijas, kas tika pārskatītas un palielinātas.

Patiesībā, šķiet, ka joprojām pastāv daudzi trūkumi, kas ierobežo šo ilgi gaidīto saskaņošanu.

Vācijas komisārs Johanness Kaspars, kura pilnvaru termiņš pēc divpadsmit gadiem Hamburgas federālās zemes uzraudzības iestādes vadībā tuvojas beigām, neatlaidīgi turpina un šī gada jūnijā paraksta vēstuli, nosodot GDPR ieviešanas trūkumus.

Iemesls ir ilgas un sarežģītas procedūras, pirms visas iestādes, tiekoties Eiropas Datu aizsardzības kolēģijā (EDPB), var panākt kopēju nostāju.

GDPR ir izveidojusi tā saukto "vienas pieturas aģentūras" procedūru, kas paredz vadošās iestādes kompetenci, proti, tās valsts kompetenci, kurā atrodas uzņēmuma, uz kuru attiecas izmeklēšana, galvenā uzņēmējdarbības vieta.

Tomēr šai vadošajai iestādei ir jāsadarbojas ar citām attiecīgajām valsts iestādēm dažādos procedūras posmos.

Praksē izmeklēšanas tiek centralizētas Īrijas iestādes pārziņā, kura ir kompetenta vadīt lielāko daļu lietu pret GAFAM, kas darbojas tās teritorijā. Tiek ziņots, ka minētajā iestādē tiek uzsāktas divdesmit astoņas procedūras, un tā tiek kritizēta par lēnajām un saudzīgajām procedūrām attiecībā uz lielajiem tehnoloģiju uzņēmumiem, piemēram, Facebook un Twitter, kas, kā ziņots, izraisa ilgas un sarežģītas diskusijas ar EDAU kolēģiem.

Hamburgas iestādes komisārs aicina uzraudzības iestādes laikus sniegt skaidrus un atturošus signālus, lai datu pārziņi ievērotu noteikumus līdzīgā veidā neatkarīgi no to atrašanās vietas Eiropas Savienībā un nekropļojot konkurenci.

Jāatzīmē, ka šo problēmu savā 2020. gada ziņojumā identificēja pati komiteja un ka sadarbības uzlabošana starp iestādēm ir viena no tās prioritātēm 2021.–2022. gadā.

Piebildīsim, ka, lai gan tā cieš no procesuāliem sarežģījumiem, "vienas pieturas aģentūras" sistēmai tomēr ir priekšrocība, ka jebkurš Eiropas Savienības pilsonis var iesniegt sūdzību savas valsts uzraudzības iestādē, pat ja datu pārzinis ir reģistrēts citā valstī, un kompetentās iestādes ir atbildīgas par sadarbību sūdzības izskatīšanā.

Ja sūdzības iesniedzējs nav apmierināts ar izmeklēšanas rezultātu, viņš vai viņa var arī meklēt tiesisko aizsardzību savā valstī.

Arī Eiropas Savienības Tiesa 15. jūnija spriedumā atgādināja par iestāžu, kuras nav vadošās iestādes pārrobežu sūdzības izskatīšanā, rīcības brīvību.

Strīda ietvaros starp Facebook (dibināts Īrijā) un Beļģijas datu aizsardzības iestādi Tiesa tādējādi uzskatīja, ka Beļģijas iestāde, lai gan tā nav vadošā iestāde, var vērsties Beļģijas tiesās par konkrētiem Facebook izdarītiem VDAR pārkāpumiem.

Tomēr šie nosacījumi attiecas tikai uz ārkārtas gadījumiem (VDAR 66. pants) vai vietējiem gadījumiem (VDAR 56. panta 2. punkts). Tādēļ šis lēmums nenozīmē vienas pieturas aģentūras beigas, bet gan nosaka izņēmumus tās piemērošanai. Tādējādi iestāžu sadarbības princips joprojām ir norma.

Un arī

Francija:

30. jūnijā CNIL publicēja trešo savas programmatūras versiju, kas paredzēta privātuma ietekmes analīzes atvieglošanai.

Šī jaunā versija palīdz vadītājiem veikt ietekmes analīzi un ļauj attīstīt zināšanu bāzes, kas ir paralēlas CNIL sniegtajām.

CNIL ierobežotā komiteja uzņēmumam piesprieda 500 000 eiro lielu naudas sodu. Bricoprivé priekš

• E-pasta ziņojumu sūtīšana potenciālajiem klientiem bez personu piekrišanas un vairāku citu GDPR saistību neievērošana:
  • Uzņēmuma noteikto datu glabāšanas periodu neievērošana,
  • Nespēja ievērot informācijas sniegšanas pienākumus un tiesības uz datu dzēšanu, un
  • Spēcīgu paroļu trūkums attiecībā uz datu drošības aspektiem.

CNIL arī atzīmēja sīkfailu izmantošanu bez lietotāja piekrišanas.

Eiropa:

4. jūnijā Eiropas Komisija publicēja jaunu standarta līguma klauzulu versiju, kas paredzēta, lai atvieglotu starptautisku datu pārsūtīšanu.

Šajās klauzulās ir ņemtas vērā Eiropas Savienības Tiesas nolēmuma Šrems II lietā sekas attiecībā uz trešo valstu iestāžu piekļuves datiem riskiem, jo īpaši valsts drošības kontekstā.

Vienlaikus Eiropas Datu aizsardzības kolēģija 18. jūnijā publicēja ieteikumus, kuru mērķis ir sniegt norādījumus datu pārziņiem šādu datu pārtveršanas risku analīzē un ļaut viņiem pieņemt papildu aizsardzības pasākumus.

Mākslīgais intelekts:

Eiropas Datu aizsardzības uzraudzītājs un Eiropas Datu aizsardzības kolēģija ir kopīgi publicējušas aicinājumu aizliegt mākslīgā intelekta izmantošanu.

• Biometrisko datu automātiska atpazīšana publiskās vietās,
• Sociālā vērtēšana, tostarp izmantojot sociālos medijus, un
• Mākslīgā intelekta izmantošana cilvēku emocionālā stāvokļa noteikšanai.

Šī nostāja atspoguļo Eiropas Komisijas priekšlikuma par mākslīgo intelektu publicēšanu 21. aprīlī.

Starptautiskā datu pārsūtīšana:

Eiropas Komisija savus ieteikumus publicēja 28. jūnijā. atbilstības lēmumi attiecībā uz Apvienoto Karalisti.

Viens attiecas uz GDPR prasībām, bet otrs — uz Eiropas direktīvu par policijas datu apstrādi.

Jauns elements ir tas, ka Komisija iekļauj "turpinājuma klauzula" kas ierobežo lēmumu derīguma termiņu līdz četriem gadiem.

Lēmumus var atjaunot, ja aizsardzības līmenis Apvienotajā Karalistē joprojām atbilst Eiropas prasībām.

Bažas rada Lielbritānijas plāni slēgt jaunus tirdzniecības un datu brīvas plūsmas nolīgumus ar jaunattīstības valstīm.

Beļģija ir Eiropas Komisijas redzeslokā, un tā ir uzsākusi GDPR pārkāpuma procedūru attiecībā uz tās datu aizsardzības iestādes neatkarību.

Iemesls ir vairāku tās biedru piederība valdības iestādēm.

Starptautiskās:

Starptautiska koalīcija, kurā ir vairāk nekā 55 patērētāju aizsardzības, pilsonisko brīvību un nevalstiskās organizācijas, aicina… aizliegums reklamēt, pamatojoties uz personu izsekošanu un profilēšanu.

Šīs nostājas iemesls bija Norvēģijas Patērētāju padomes ziņojums, kas atklāja uzraudzības prakses ietekmi uz sabiedrību komerclietās.

16. jūnijā Eiropas Komisija uzsāka procedūru, kuras mērķis ir atzīt datu aizsardzības pietiekamība Dienvidkorejā.

Ķīnas varas iestādes 10. jūnijā paziņoja par likuma par datu drošību pieņemšanu, kuras mērķis ir arī aizsargāt to personu tiesības un intereses, kuru dati tiek apstrādāti.

Anna Kristīna Lakoste

Olivier Weber Avocat partnere Anna Kristīne Lakosta ir juriste, kas specializējas datu tiesībās; viņa bija Eiropas Datu aizsardzības uzraudzītāja starptautisko attiecību vadītāja un strādāja pie GDPR ieviešanas Eiropas Savienībā.