DSA – DMA: dva piliere európskej digitálnej stratégie.

Právne upozornenie č. 46 – Apríl 2022

DSA – DMA: dva piliere európskej digitálnej stratégieOd uzavretia politickej dohody v noci z 22. na 23. apríla je DSA alebo zákon o digitálnych službách predmetom mnohých komentárov v digitálnom svete.

Táto legislatíva o digitálnych službách je v skutočnosti spolu s legislatívou o digitálnych trhoch (Digitálny zákon o trhoch) jadrom európskeho systému, ktorý predstavila Európska komisia 15. decembra 2020.

Cieľom tejto stratégie je vytvoriť spravodlivejšie podmienky a zvýšiť zodpovednosť online platforiem za obsah, ktorý zverejňujú.

Zákon o digitálnych službách (DSA) sa zameriava najmä na zvýšenie transparentnosti a bezpečnosti digitálneho prostredia vymedzením zodpovedností poskytovateľov digitálnych služieb.

Doplní európsku smernicu o elektronickom obchode a ďalšie texty, ako napríklad nariadenie o „platformách pre podnikanie“, ako aj odvetvové ustanovenia upravujúce napríklad moderovanie nenávistných prejavov online, terorizmus, diskrimináciu alebo autorské práva.

Zákony o digitálnych službách sa budú vzťahovať na platformy, ako sú vyhľadávače, sociálne médiá alebo platformy elektronického obchodu. 

Tento text bol predmetom početných debát a tlaku, a to ako zo strany občianskej spoločnosti, ktorá požadovala dostatočne široký rozsah pôsobnosti, tak aj zo strany digitálnych ekonomických aktérov, ktorých požiadavky smerovali opačným smerom.

Najmä sa vynorila otázka rozsahu regulácie „temných vzorov“ a iných mechanizmov zameraných na ovplyvňovanie správania návštevníkov (pozri náš list č. 45).

Zdá sa, že dosiahnutá politická dohoda hľadá rovnováhu medzi kontrolou hypercentralizovanej platformovej ekonomiky na jednej strane a rešpektovaním základných práv, slobody prejavu a nediskriminácie jednotlivcov na strane druhej.

Obzvlášť pozoruhodné sú tieto prvky:

• Mechanizmus nápravy by mal umožniť osobám, ktoré identifikovali potenciálne nezákonný obsah, získať odpoveď od hostiteľa transparentným postupom a bez toho, aby sa z hostiteľa stali policajní pomocníci.

• Cielená reklama bude obmedzená, bez použitia citlivých údajov používateľov.
• Zakázané budú aj tmavé vzory – zahrnutie súborov cookie do tohto zákazu je neisté.
• Mechanizmus reakcie na krízu, zavedený v kontexte vojny na Ukrajine, umožňuje Komisii vyhlásiť stav digitálnej núdze po konzultácii s národnými regulačnými orgánmi.

Upozorňujeme, že tieto opatrenia sa vzťahujú na platformy, a preto zostáva situácia, pokiaľ ide o webové stránky vo všeobecnosti, nezmenená.

Tieto však naďalej podliehajú ustanoveniam GDPR a európskej smernice o elektronických komunikáciách.

DMA dopĺňa digitálnu stratégiu tým, že sa špecificky zameriava na „kontrolórov prístupu“ na digitálnych trhoch alebo „vrátnikov“. ktoré majú silné ekonomické postavenie v Európskej únii a ktoré spájajú veľkú používateľskú základňu s veľkým počtom podnikov.

K tomuto textu sa 25. marca dosiahla aj politická dohoda, ktorá objasnila rozsah pôsobnosti DMA: koncept zahŕňa digitálne trhoviská, obchody s aplikáciami, vyhľadávače, sociálne siete, cloudové služby, reklamné služby, hlasových asistentov a webové prehliadače.

Cieľom DMA je zabezpečiť, aby sa tieto platformy správali online spravodlivo.

Napríklad budú musieť zabezpečiť interoperabilitu základných funkcií svojich služieb okamžitých správ.

Okrem toho už nebudú môcť:

• Propagácia vlastných produktov alebo služieb na úkor produktov alebo služieb iných (sebareferencovanie)
• Opätovne použiť súkromné údaje zhromaždené počas jednej služby na účely inej služby
• Stanovenie nespravodlivých podmienok pre profesionálnych používateľov
• Predinštalujte si určité softvérové aplikácie
• Požiadavka, aby vývojári aplikácií používali určité služby (napr. platobné systémy alebo poskytovateľov identity), aby boli uvedené v obchodoch s aplikáciami

Za zmienku však stoja obavy, ktoré odvtedy vyjadrilo viac ako 40 zástupcov sektora hospodárskej súťaže a ochrany údajov: v týždni od 21. apríla zverejnili list, v ktorom vysvetlili svoje obavy týkajúce sa príliš vágneho textu, ktorý by dotknutým spoločnostiam umožnil zlúčiť všetky údaje, ktoré majú k dispozícii, na základe jediného súhlasu, zatiaľ čo GDPR vyžaduje právny základ pre každý typ vykonávaného spracovania.

Dohoda o distribúcii dát (DMA), rovnako ako dohoda o distribúcii dát (DSA), ešte nie sú konečné: pred prijatím musia byť schválené na plenárnom zasadnutí Európskeho parlamentu.

Medzitým a vzhľadom na riziká Európa nestráca čas: údajne plánuje otvoriť kanceláriu v San Franciscu, aby spolupracovala s technologickými gigantmi zo Silicon Valley, teda s tými istými spoločnosťami, ktoré budú podľa nových digitálnych pravidiel podliehať prísnym kontrolám.

A tiež

Francúzsko:

• Štúdia publikovaná v polovici apríla žurnalistickou školou Sciences Po naznačuje, že 184 webových stránok francúzskej verejnej správy používa službu Google Analytics, napriek dôsledkom, ktoré zdôraznila CNIL a jej partneri, pokiaľ ide o prevody do Spojených štátov.

Medzi tieto stránky patria stránky Štátnej rady, colného úradu a prezidentského úradu.

• CNIL publikuje zdroje o umelej inteligencii pre rôzne cieľové skupiny pre odborníkov pripomienka zásad, stanovísk CNIL a sprievodca sebahodnotením; pre širokú verejnosť zdroje na lepšie pochopenie problematiky; a nakoniec pre špecialistov informácie a štúdie týkajúce sa problematiky a súčasného stavu techniky.
• Začiatkom apríla CNIL upravila svoje represívne postupy a vytvorila zjednodušený postup v menej zložitých prípadoch: žiadne zasadnutie kolégia ani verejné zasadnutie, s výnimkou prípadov, keď o to požiada príslušná organizácia.

Sankcie, ktoré možno v tejto súvislosti uložiť, sú obmedzené: napomenutia, pokuty do výšky 20 000 EUR a súdny príkaz s penále obmedzeným na 100 EUR za deň omeškania.

Tieto sankcie nie sú zverejnené.

• Dňa 15. apríla 2022 vydal užší výbor CNIL Pokuta 1,5 milióna eur pre spoločnosť Dedalus Biologie kvôli bezpečnostným chybám, ktoré viedli k úniku zdravotných údajov takmer 500 000 ľudí.

Počas operácií migrácie softvéru boli zistené technické a organizačné bezpečnostné nedostatky.

Európa:

Európska komisia spustila svoju návrh na vytvorenie Európskeho priestoru zdravotníckych údajov (EHDS).

Cieľom návrhu je uľahčiť občanom prístup k ich zdravotným údajom v elektronickej forme a zdieľať ich s inými zdravotníckymi pracovníkmi v rámci EÚ, pričom prístup k týmto údajom sa za prísnych podmienok umožní výskumníkom, inovátorom, verejným inštitúciám alebo spoločnostiam.

Každý členský štát bude musieť určiť orgán digitálneho zdravotníctva, ktorý sa bude podieľať na cezhraničnej digitálnej infraštruktúre (MyHealth@EU).

Európsky výbor pre ochranu údajov (EDPB)

• Európsky výbor pre ochranu údajov (EDPB) 6. apríla 2022 zverejnil vyhlásenie k návrhu transatlantického rámca ochrany údajov.

Toto vyhlásenie nadväzuje na zásadnú dohodu medzi Európskou komisiou a Spojenými štátmi, ktorá bola oznámená 25. marca 2022.

EDPB poukazuje na to, že toto oznámenie nepredstavuje právny rámec, na ktorom by mohli vývozcovia údajov zakladať svoje prenosy.

Musia pokračovať vo vykonávaní opatrení potrebných najmä na splnenie rozsudku Súdneho dvora Európskej únie vo veci Schrems II.

• EDPB tiež 28. apríla zverejnil spoločné stanovisko týkajúce sa spolupráca medzi orgánmi na ochranu údajov v záležitostiach kontroly súlad s GDPR.

Dokument potvrdzuje ochotu orgánov na ochranu údajov posilniť svoju spoluprácu identifikáciou cezhraničných otázok strategického významu, podporou spoločných vyšetrovaní, výmeny informácií a zlepšením určitých procesných pravidiel.

Európsky dozorný úradník pre ochranu údajov (EDPS)

THE Európsky dozorný úradník pre ochranu údajov (EDPS) organizuje 16. a 17. júna v Bruseli konferenciu zameranú na dodržiavanie GDPR v digitálnom svete.

CPDP

Za zmienku stojí aj každoročná akademická konferencia CPDP (Počítače, súkromie a ochrana údajov), ktorá bola tento rok odložená na 23. – 25. mája. Program je štruktúrovaný okolo tejto témy „Vek inteligentných strojov“.

Európsky parlament

19. apríla Vyšetrovacia komisia Pegasus Európsky parlament začal svoju prácu.

Komisia má dvanásť mesiacov na prípravu správy o špionážnom softvéri, ktorý používa niekoľko vlád na špehovanie mnohých verejne známych osobností, politikov, novinárov a aktivistov.

Súdny dvor Európskej únie

Dve dôležité zastávky, Súdny dvor Európskej únie boli zverejnené minulý mesiac:

• Dňa 5. apríla Súdny dvor potvrdil svoju judikatúru, že údaje z elektronickej komunikácie (vrátane údajov o polohe) nemožno uchovávať všeobecne a bez rozdielu na účely boja proti závažnej trestnej činnosti.
• Dňa 28. apríla Súdny dvor výslovne uznal, že združenia na ochranu spotrebiteľov môžu podať žaloby v zastúpení proti porušeniam ochrany osobných údajov bez ohľadu na skutočné porušenie práva dotknutej osoby na ochranu údajov a bez toho, aby na to mali mandát.

Španielsky úrad na ochranu údajov uložil pokutu 1 500 eur osobe, ktorá nainštalovala monitorovaciu kameru smerujúcu na verejnú komunikáciu a v blízkosti súkromných domov bez informačného plagátu a v rozpore s článkom 5 ods. 1 písm. c) a článkom 13 GDPR.

Holandská agentúra DPA udelila ministerstvu zahraničných vecí pokutu 565 000 eur. pre nedostatočné bezpečnostné opatrenia a nedostatok primeraných informácií pre dotknuté osoby v súvislosti so žiadosťami o víza.

Maďarský úrad na ochranu údajov udelil banke pokutu 670 000 eur za nezákonné používanie umelej inteligencie.Banka vykonala automatické analýzy zvukových nahrávok zo zákazníckeho servisu.

Dánsky úrad na ochranu údajov udelil Danske Bank pokutu vo výške 1 345 000 eur za nedodržanie postupov uchovávania a vymazávania údajov. vo viac ako 400 počítačových systémoch, do ktorých je zapojených niekoľko miliónov ľudí. Prípad je tiež predmetom policajného vyšetrovania.

V Belgicku uložila DPA pokutu vo výške 200 000 eur letisku Zaventem v Bruseli a 100 000 eur letisku Brusel-South-Charleroi. pre kontroly teploty cestujúcich vykonávané v rámci boja proti COVID-19 bez platného právneho základu.

Medzinárodné:

Existujú obavy týkajúce sa schopností počúvania a nahrávania inteligentných reproduktorov.

Akademická štúdia publikovaná koncom apríla podrobne popisuje, ako Amazon využíva údaje zhromaždené spoločnosťou Alexa na účely cielenej reklamy a aké je ohodnotenie týchto údajov, ktoré sa ďalej predávajú za tridsaťkrát viac ako iné údaje.

V polovici apríla írsky komisár pre ľudské práva vyjadril rovnaké výhrady ministrovi spravodlivosti, tentoraz týkajúce sa opätovného použitia týchto údajov v kontexte policajných vyšetrovaní.

Dňa 21. apríla vydala ministerka zahraničných vecí USA Gina M. Raimondo vyhlásenie o vytvorení „Globálneho fóra CBPR“.

Cieľom tohto fóra je uľahčiť prenos osobných údajov a obchodných aktivít medzi Spojenými štátmi, Kanadou, Japonskom, Kórejskou republikou, Filipínami, Singapurom a Taiwanom.

Treba poznamenať, že pravidlá pre cezhraničnú ochranu osobných údajov (CBPR) existujú už približne desať rokov a certifikované spoločnosti majú prevažne v Spojených štátoch.

OECD plánuje vytvoriť rámec pre dôveryhodný prístup vlády k údajom súkromného sektora.

Táto téma je jednou z priorít medzinárodnej organizácie na rok 2022, spolu s lokalizáciou údajov a medzinárodnými prenosmi osobných údajov.

Anne Christine Lacoste

Anne Christine Lacoste, partnerka v spoločnosti Olivier Weber Avocat, je právnička špecializujúca sa na právo týkajúce sa údajov; bola vedúcou oddelenia medzinárodných vzťahov u Európskeho dozorného úradníka pre ochranu údajov a pracovala na implementácii GDPR v Európskej únii.