Trump verzus Slaughter: Koniec transatlantických tokov údajov ?

Mimovládna organizácia Noyb, tŕň v oku digitálnych gigantov a regulačných orgánov, 30. júna poslala Európskej komisii list, v ktorom ju žiadala o naplánovanie odchodu z transatlantického rámca na ochranu údajov (Data Privacy Framework alebo DPF).

Podľa mimovládnej organizácie Spojené štáty už nezaručujú žiadny nezávislý dohľad nad ochranou súkromia.

Zatiaľ čo prezident Trump už odvolal dvoch z troch členov “Dozornej rady pre súkromie a občianske slobody”, nezávislého dozorného orgánu vytvoreného Kongresom v roku 2004, Najvyšší súd Spojených štátov nepochybne práve zasadil americkému nezávislému systému dozoru smrteľnú ranu.

Súd 29. júna rozhodol, že nezávislosť Federálnej obchodnej komisie (FTC) je protiústavná, a to o 180° zvrate oproti svojej predchádzajúcej judikatúre.

Rozhodnutie v prípade «Trump vs. Slaughter» spadá do rámca «unitárnej» teórie, podľa ktorej musí prezident vykonávať moc nad všetkými americkými výkonnými orgánmi.

Podľa tejto doktríny sú americké zákony, ktoré priznávajú nezávislosť rôznym agentúram, protiústavné.

“Vzhľadom na to, že Európska únia sa vo veľkej miere spoliehala na ’nezávislosť« FTC ako svojho dozorcu nad ochranou súkromia, celá štruktúra rámca ochrany údajov medzi EÚ a USA sa práve zrútila.»

Prezident Noybu Max Schrems dodáva, že keďže Spojené štáty stále vyvíjajú značný tlak na EÚ, aby zachovala tok osobných údajov, jeho mimovládna organizácia v nasledujúcich týždňoch tiež začne právne kroky s cieľom umožniť Súdnemu dvoru Európskej únie (SDEÚ) zrušiť súčasnú dohodu.

Rozhodnutie vo veci «Schrems III» by preto mohlo doplniť zoznam úspechov aktivistu.

Poslanec a člen CNIL Philippe Latombe tiež poslal Európskej komisii list, v ktorom žiadal o zrušenie transatlantickej zmluvy a naliehal na francúzske spoločnosti, aby zaviedli riešenia pre správu suverénnych údajov.

Treba pripomenúť, že rozhodnutie Európskej komisie, ktoré uznáva primeranosť ochranného rámca zavedeného Spojenými štátmi, zostáva v platnosti, kým ho Komisia alebo Súdny dvor EÚ nevyhlási za neplatné.

Konanie pred súdom zvyčajne trvá dva až tri roky, kým sa dosiahne konečné rozhodnutie.

Komisia však nemusí čakať na výsledok takéhoto konania: v reakcii na otázky médií už oznámila, že má v úmysle analyzovať platnosť svojho rozhodnutia o primeranosti vzhľadom na nedostatočnú nezávislosť Federálnej obchodnej komisie (FTC).

Dánsky úrad na ochranu údajov ďalej vo vyhlásení z 1. júla uviedol, že rozhodnutie Najvyššieho súdu Spojených štátov by mohlo mať obzvlášť rozsiahle dôsledky, ktoré by ovplyvnili nielen prevody založené na DPF, ale aj prevody uskutočnené na základe iných právnych základov, napríklad na základe štandardných zmlúv.

Úrad nabáda prevádzkovateľov údajov, aby v kontexte posúdenia vplyvu prenosu preskúmali svoje posúdenie úrovne ochrany zaručenej prijímajúcou krajinou.

Je obzvlášť dôležité overiť, či sú stále splnené predpoklady pre nezávislú kontrolu zo strany orgánov.

Pre prevádzkovateľov údajov a zodpovedných osôb (DPO) táto správa poskytuje príležitosť aktualizovať mapovanie transatlantických prenosov údajov vrátane SaaS, cloudových nástrojov alebo nástrojov umelej inteligencie, prehodnotiť ich právny základ a v prípade potreby identifikovať možné alternatívy.

Vo Francúzsku

Po verejnej konzultácii zverejnila CNIL 30. júna svoje odporúčania týkajúce sa používania údajov o polohe z pripojených vozidiel (autá, bicykle, kolobežky atď.) odborníkmi.

Jeho cieľom je posilniť právnu istotu a zabezpečiť väčšiu transparentnosť pre používateľov.

V informačnom liste aktualizovanom 19. júna CNIL opakuje svoje základné odporúčania týkajúce sa používania digitálnych technológií v podnikaní.

Uvádza 12 odporúčaní a nabáda prevádzkovateľov údajov, aby vykonali diagnostiku prostredníctvom webovej stránky vlády.

V publikácii z 10. júna tiež špecifikuje pravidlá, ktoré sa majú dodržiavať v prípade elektronickej komunikácie so záujemcami a zákazníkmi.

CNIL 3. júla zverejnila výsledky svojho prieskumu zameraného na analýzu vývoja úlohy úradníkov pre ochranu údajov (DPO) vzhľadom na rozvoj umelej inteligencie (AI).

Zaujíma sa o riadenie umelej inteligencie v organizáciách, nové regulačné výzvy súvisiace s prepojením medzi GDPR a európskym nariadením o umelej inteligencii, ako aj o potreby úradníkov pre ochranu údajov (DPO), pokiaľ ide o zručnosti, školenia a nástroje.

Hoci zodpovedná osoba zostáva kľúčovým hráčom pri zabezpečovaní ochrany osobných údajov v projektoch umelej inteligencie, nie je určená na to, aby toto dodržiavanie predpisov riadila sama a zatiaľ nemá dôkladné znalosti o nariadení.

CNIL má v úmysle prispôsobiť svoje odporúčania a podporu pre odborníkov týmto novým výzvam a odkazuje na nástroje, ktoré sú už dostupné na jej webovej stránke.

V utorok 16. júna premiér vo videu zverejnenom na sociálnych sieťach oznámil dodatočnú verejnú investíciu vo výške 655 miliónov eur prostredníctvom programu Francúzsko 2030 s cieľom urýchliť rozvoj umelej inteligencie vo Francúzsku.

«Jedno z najsymboličtejších oznámení sa týka Generálneho riaditeľstva pre vnútornú bezpečnosť (DGSI), ktoré ukončuje partnerstvo s americkým gigantom v oblasti analýzy údajov Palantir.“.

Na nahradenie tejto zahraničnej technológie si DGSI vybrala francúzsku spoločnosť ChapsVision.

Tieto obavy nedávno posilnilo rozhodnutie americkej administratívy obmedziť prístup k určitým pokročilým modelom umelej inteligencie pre cudzincov v mene národnej bezpečnosti.

Vláda chce tiež urýchliť zavádzanie umelej inteligencie v administratíve.

Suverénny konverzačný asistent bude postupne sprístupnený približne jednému miliónu štátnych zamestnancov.»

V súvislosti s tou istou témou bolo 23. júna prerušené testovanie modelu čínskeho jazyka na Generálnom riaditeľstve ministerstva financií z dôvodu «nadhadzujúcich» alebo «zaujatých» odpovedí.

Chatbot mal pomáhať vyšším úradníkom pri ich každodenných úlohách vrátane spracovania dôverných alebo citlivých údajov.

V stredu bol nainštalovaný nový model od francúzskeho startupu Mistral AI.

Od roku 2027 prestane Francúzska národná agentúra pre kybernetickú bezpečnosť (ANSSI) certifikovať bezpečnostné produkty, ktoré nemajú šifrovacie mechanizmy odolné voči kvantovým počítačom.

Táto požiadavka sa bude týkať najmä výrobkov určených pre citlivé sektory, ako je obrana, zbrojárstvo a verejná správa.

Spoločnosti majú do roku 2030 čas na nákup iba takzvaných «kvantovo bezpečných» riešení.

Urýchlenie prechodu na postkvantovú kryptografiu bolo tiež ústredným bodom práce podskupiny G7 pre kybernetickú bezpečnosť, ktorá sa stretla začiatkom júna pod francúzskym predsedníctvom.

Orgány na ochranu údajov krajín G7 sa tiež stretli v Paríži 25. a 26. júna na pozvanie CNIL v rámci francúzskeho predsedníctva G7.

Prijali vyhlásenie o mechanizmoch overovania veku rešpektujúcich súkromie, ako aj dokument o vývoji prepojených objektov, ktoré rešpektujú súkromie maloletých.

V Európe

Európske inštitúcie a orgány

Rada EÚ 29. júna definitívne schválila zjednodušenie a zefektívnenie pravidiel umelej inteligencie stanovených v nariadení Omnibus.

Uplatňovanie pravidiel týkajúcich sa vysokorizikových systémov sa odkladá do 2. decembra 2027 pre samostatné vysokorizikové systémy umelej inteligencie a do 2. augusta 2028 pre vysokorizikové systémy umelej inteligencie integrované do produktov.

Text pridáva do nariadenia o umelej inteligencii ustanovenie, ktoré zakazuje praktiky umelej inteligencie súvisiace s vytváraním sexuálneho a intímneho obsahu alebo detskej pornografie bez súhlasu.

Systémy umelej inteligencie, ktoré generujú obrázky skutočných nahých ľudí alebo odstraňujú oblečenie z existujúcich fotografií s cieľom odhaliť intímne partie, budú od decembra 2026 tiež zakázané.

Nové nariadenie odkladá termín na vytvorenie regulačných «pieskoviská» venovaných umelej inteligencii príslušnými orgánmi na vnútroštátnej úrovni na 2. augusta 2027 a skracuje lehotu poskytnutú poskytovateľom na implementáciu riešení transparentnosti týkajúcich sa umelo generovaného obsahu zo 6 na 3 mesiace, pričom nový termín je stanovený na 2. decembra 2026.

Podľa dokumentu, ktorý videlo Politico, sa predsedníčka Európskeho parlamentu Roberta Metsolaová pokúša schváliť kontroverzný zákon o filtrovaní detskej pornografie online (CSAM), ktorý v marci minulého roka zamietlo jej vlastné zhromaždenie na plenárnom zasadnutí.

Predseda požiadal členské štáty zhromaždené v Rade, aby schválili návrh, ktorý by technologickým platformám umožnil dobrovoľne skenovať svoje služby a vyhľadávať detský pornografický obsah, čo je otázka, ktorá je predmetom intenzívnej kontroverzie: polícia a niektorí obhajcovia práv detí, ako aj niekoľko európskych komisárov tvrdia, že nedostatok legislatívy umožňuje páchateľom a pedofilom konať na internete beztrestne.

Obhajcovia súkromia a bezpečnostní experti sa medzitým domnievajú, že tieto návrhy by mohli viesť k neprijateľnému hromadnému sledovaniu a ukončeniu šifrovania.

Dňa 18. júna 2026 Súdny dvor EÚ vo svojom rozsudku C-484/24 – NTH Haustechnik objasnil, že osobné údaje získané nezákonne by nemali byť automaticky vylúčené zo súdneho konania.

Súdy ich môžu použiť, ak je to nevyhnutne potrebné a primerané výkonu ich poslania, pričom musia rešpektovať zásady GDPR, najmä minimalizáciu údajov.

Táto možnosť však neznamená, že pôvodné zhromažďovanie informácií je zákonné, a nezbavuje ich autora zodpovednosti za možné porušenie pravidiel ochrany údajov.

Európsky výbor pre ochranu údajov (EDPB) prijal 10. júna vzor oznámenia o porušení ochrany údajov.

Tento model je primárne určený na implementáciu APD pomocou počítačového nástroja.

Model je predmetom verejnej konzultácie, čo zainteresovaným stranám ponúka možnosť podeliť sa o svoje pripomienky a spätnú väzbu k jeho obsahu do 5. augusta.

Od 3. augusta bude spoločnosť Google používať IP adresy používateľov internetu nachádzajúcich sa v Európskom hospodárskom priestore, Spojenom kráľovstve a Švajčiarsku na meranie a prispôsobovanie reklám.

Hoci Google už z technických dôvodov zhromažďuje tieto údaje, ich používanie sa vyvíja: IP adresa sa teraz môže použiť na identifikáciu zariadení na účely cielenej reklamy.

Táto prax, ktorú upravuje GDPR, bude vyžadovať súhlas používateľa, ktorý by mal byť integrovaný do mechanizmov, ktoré sa už používajú na správu reklamných preferencií a súborov cookie.

Správy z členských krajín Európskej únie.

Belgické a španielske orgány na ochranu údajov (DPA) 18. júna spoločne zverejnili odporúčania a osvedčené postupy pre sektor videohier.

Táto spolupráca vychádza z potreby, ktorú identifikovali úrady, regulovať sektor, ktorý zahŕňa viac ako 3 miliardy používateľov na celom svete a využíva rušivé technológie.

Dokument analyzuje najbežnejšie činnosti spracovania osobných údajov vo videohrách, identifikuje hrozby a riziká, ktoré so sebou prinášajú, a navrhuje odporúčania a osvedčené postupy.

V Chorvátsku APD uložil realitnej kancelárii pokutu za uchovávanie údajov o zákazníkoch nad rámec účelu spracovania, uchovávanie kópií dokladov totožnosti a bankových kariet bez právneho základu a za nedostatočné školenie svojich zamestnancov o spracovaní osobných údajov.

Španielsky úrad na ochranu údajov (APD) zverejnil 8. júna usmernenia týkajúce sa používania kamier v domovoch dôchodcov s cieľom zosúladiť starostlivosť a súkromie.

Taktiež uložila spoločnosti Vodafone España pokutu vo výške 1 050 000 eur po tom, čo sa tretej strane podarilo obísť bezpečnostné kontroly a získať faktúru od zákazníka obsahujúcu neoprávnenú e-mailovú adresu a vytvoriť druhú mobilnú linku podvodne zaregistrovanú na meno sťažovateľa.

Nakoniec udelila CaixaBank pokutu 500 000 eur za systémové zlyhania v ochrane údajov po opakovaných narušeniach bezpečnosti.

Úrad konkrétne požiadal banku, aby zlepšila svoje schopnosti detekcie narušení bezpečnosti a posilnila svoje postupy na identifikáciu osôb a údajov zapojených do incidentu.

Írsky úrad na ochranu údajov (DPA) udelil verejnej zdravotnej službe (HSE) pokutu vo výške 300 000 eur po kybernetickom útoku ransomvéru z roku 2018, ktorý ohrozil osobné údaje približne 84 000 pacientov.

Vyšetrovanie dospelo k záveru, že HSE nezaviedla dostatočné technické a organizačné bezpečnostné opatrenia, nemala dokumentáciu v súlade s GDPR a riadne nedohliadala na svojich subdodávateľov.

Okrem pokuty DPC nariadil HSE, aby trvalo posilnila svoje politiky a postupy v oblasti bezpečnosti údajov.

Nórsky úrad na ochranu údajov (APD) uložil spoločnosti Elkjøp administratívnu pokutu vo výške 20 miliónov nórskych korún, najmä za nedostatok platného súhlasu so spracovaním osobných údajov v rámci jej vernostného klubu, nedostatočné posúdenie nových účelov spracovania a nereagovanie na žiadosti dotknutých osôb v lehotách stanovených v GDPR.

Medzinárodne

V Spojenom kráľovstve je policajt z Derbyshire vyšetrovaný po tom, čo bol v niekoľkých súdnych prípadoch obvinený z používania umelej inteligencie na falšovanie dôkazov.

Úrady preverujú potenciálne relevantné spisy, zatiaľ čo dôstojník bol odvolaný z operačných povinností.

Tento prípad, ktorý by mohol predstavovať vážne zneužitie spravodlivosti, prichádza v čase, keď britské policajné zložky čoraz viac využívajú umelú inteligenciu, čím oživujú diskusiu o rizikách a potrebe prísnej regulácie týchto technológií.

Niekoľko policajných oddelení bolo nedávno požiadaných o pozastavenie určitých spôsobov používania umelej inteligencie, najmä pri vypracovávaní dokumentov pre súdy, z dôvodu faktických chýb.

Aj v Spojenom kráľovstve sú od 19. júna organizácie, na ktoré sa vzťahujú britské právne predpisy o ochrane údajov, povinné zaviesť postup, ktorý umožní fyzickým osobám podávať sťažnosti týkajúce sa ich osobných údajov.

Jednotlivci musia najprv adresovať svoju sťažnosť príslušnej organizácii a až potom kontaktovať Úrad komisára pre informácie.

V Číne nadobudnú 15. júla účinnosť predbežné opatrenia týkajúce sa riadenia antropomorfných interaktívnych služieb založených na umelej inteligencii.

Toto nariadenie upravuje rýchlo rastúci sektor virtuálnych spoločníkov a robotov emocionálnej podpory založených na umelej inteligencii.

Poskytovatelia týchto služieb budú musieť najmä jasne informovať používateľov, že interagujú s umelou inteligenciou, zaviesť mechanizmy na predchádzanie emocionálnej závislosti, odhaľovať tiesňové alebo rizikové situácie, chrániť maloletých a obmedziť ich prístup k virtuálnym spoločníkom.

Budú tiež musieť dodržiavať požiadavky na riadenie, ako je registrácia algoritmov, vykonávanie bezpečnostných posúdení v určitých prípadoch a implementácia opatrení na ochranu údajov a riadenie rizík.

Iberoamerická sieť pre ochranu údajov (RIPD) prijala referenčný dokument zameraný na posilnenie záruk uplatniteľných na spracovanie «neurodát», ktoré pochádzajú z technológií schopných merať alebo odvodzovať mozgovú aktivitu.

Text odporúča posilnenú ochranu týchto údajov, zvýšenú transparentnosť ich používania a prevádzky, ako aj obmedzenia alebo dokonca zákazy určitých použití, ktoré sa považujú za nezlučiteľné so základnými právami, najmä ak sú zamerané na manipuláciu správania alebo zneužívanie zraniteľných osôb.

Spoločnosť Anthropic vyradila z prevádzky svoje dva najvýkonnejšie modely umelej inteligencie.

Washington s odvolaním sa na obavy o «národnú bezpečnosť» požadoval, aby americký startup špecializujúci sa na umelú inteligenciu obmedzil prístup k Claude Fable 5 a Mythos 5 iba na amerických občanov.

Podľa spoločnosti Anthropic je táto požiadavka nemožná realizovať. 22. mája spoločnosť Anthropic oznámila svoj projekt Glasswing s tým, že jej model umelej inteligencie v oblasti kybernetickej bezpečnosti s názvom Mythos identifikoval viac ako 10 000 zraniteľností v široko používanom softvéri a projektoch s otvoreným zdrojovým kódom.