Varstvo podatkov v polnem teku

Pravna ura št. 20 – 10. februar 2020

To se spominjamo iz prvih tednov tega novega leta, s številnimi razpravami ob pomembnih dogodkih:

• Mednarodni dan varstva podatkov, 28. januarja,
• Mednarodna konferenca o varstvu podatkov, ki jo je prejšnji teden v Bruslju organiziral akademski sektor, in
• Mednarodni forum o kibernetski varnosti v Lillu v zadnjih dneh januarja.

Februar ne bo izpuščen s konferenco o "intenzivnem varstvu podatkov" v Parizu, ki jo organizira Mednarodno združenje pooblaščencev za varstvo podatkov (IAPP).

Med številnimi obravnavanimi temami izstopata dve: stopnjevanje razprav o prepoznavanju obrazov in poseben položaj mikro, mikro in malih podjetij ter malih in srednje velikih podjetij v zvezi z GDPR.

Prepoznavanje obrazov pod vprašajem

Konec januarja je vžigalico prižgala hipoteza, ki jo je v beli knjigi predstavila Evropska komisija, o moratorij o prepoznavanju obrazov na javnih mestih.

Ta dokument v fazi osnutka ni bil namenjen distribuciji, Komisija pa je od takrat napovedala, da opušča možnost moratorija in daje prednost drugim načinom regulacije.

Svoj prispevek o umetni inteligenci bo predstavila 19. februarja.

Zamisel o strožji ureditvi ali celo prepovedi samodejnega prepoznavanja ljudi na določenih mestih, si utira pot med regulatorji, pa tudi v zasebnem in javnem sektorju ter celo zunaj Evrope.

O tej temi sta med drugim spregovorila Evropski nadzornik za varstvo podatkov (EDPS) in komisar za varstvo podatkov Sveta Evrope.

Tudi Evropski odbor za varstvo podatkov (EDPB) obravnava to vprašanje v svojih najnovejših smernicah, sprejetih konec januarja.

Vedno več mest, kot sta San Francisco in Cambridge, je prepovedalo to tehnologijo v svojih javnih prostorih.

Potencialne uporabe podatkov ustvarjajo takšno negotovost, da tudi tehnološki velikani, kot je Microsoft, pozivajo k večji jasnosti.

Med predloženimi argumenti posebej izpostavljamo tveganja diskriminacije na podlagi etničnega porekla in drugih pristranskosti, kar vodi do preveč »lažno pozitivnih« rezultatov.

Možnost popolnega nadzora javnega prostora sproža vprašanja tudi glede na trenutne možnosti zbiranja podatkov: pomislimo na podatkovno bazo Clearview, podjetje, ki shranjuje obraze, dostopne na vseh družbenih omrežjih, da bi jih prodalo organom pregona v Združenih državah Amerike, in ki je v začetku letošnjega leta pritegnilo pozornost medijev.

Poudariti je treba tudi mednarodno razsežnost problema.

To dokazuje nedavno parlamentarno vprašanje na evropski ravni glede projekta "Varno mesto", ki so ga razvili v Srbiji in temelji na kitajski tehnologiji prepoznavanja obrazov. 

Položaj mikropodjetij in malih in srednje velikih podjetij

Razprave, ki so potekale med različnimi dogodki januarja, so izpostavile glavne izzive, s katerimi se soočajo (zelo) mala in srednje velika podjetja.

Če predstavljajo največji del evropskega gospodarstva, so najbolj prikrajšani pri obravnavanju vprašanj varnosti njihove IT platforme, uporabe oblaka, zunanjega izvajanja in uporabe orodij za samoocenjevanje (revizij).

Soočen s temi vprašanji, več pobud so ugledali luč sveta. 

ENISA (Agencija Evropske unije za kibernetsko varnost) je 28. januarja predstavila spletno platformo, ki bo podjetjem, zlasti malim in srednje velikim podjetjem, pomagala pri zaščiti njihovih podatkov.

Obstajata tudi dve pobudi, namenjeni pomoči razvijalcem spletnih mest: vodnik CNIL in vodnik organizacije EDRI, ki podpirata razvoj spletnih mest v skladu z GDPR.

Čeprav je izbira varnega (in idealno evropskega) oblaka še vedno zapletena, je vredno omeniti prizadevanja evropskih regulatorjev v zvezi s tem. Microsoft je na primer pod pritiskom ENVP in Nizozemske pravkar spremenil pogodbene pogoje za Office 365, da bi jih uskladil z GDPR.

In tudi:

V Franciji:

Kot je bilo napovedano, je CNIL 14. januarja 2020 objavil osnutek priporočila v zvezi zuporaba piškotkov in drugih sledilnikov.

Namenjen je pojasnitvi pogojev za pridobitev soglasja in vključuje konkretne primere obvestil uporabnikom interneta. Besedilo je na voljo za posvetovanje do 25. februarja.

V Evropi:

Tam Izstop Združenega kraljestva iz Evropske unije bo imelo posledice za prenos podatkov.

Kljub temu bo brez sprememb v letu 2020, prehodno leto, v katerem bo Evropska komisija ocenila raven varstva, ki jo ponuja Združeno kraljestvo, da bi lahko sprejela morebitno odločitev o ustreznosti. 

Sporočila za javnost ICO (britanskega nadzornega organa) in CNIL podrobno opisujejo te elemente.

Mednarodno:

• ZDRUŽENE DRŽAVE AMERIKE Po začetku veljavnosti v začetku leta 2020 Zakon o zasebnosti potrošnikov v Kaliforniji, je na vrsti država Washington, da pripravi zakon o zasebnosti.

• Indonezija a zakon o varstvu podatkov je bil v parlamentu vložen 28. januarja. Njegova najnovejša različica z dne 6. decembra 2019, ki jo je močno navdihnila GDPR, velja za javni in zasebni sektor.

Spomnimo se, da je seznam držav, katerih zakonodaja je v Evropski uniji ustrezna, kar olajša prenos podatkov v te države, na voljo tukaj.

• Andora,
• Argentina,
• Kanada (komercialne organizacije),
• Ferski otoki,
• Guernsey,
• Izrael,
• Otok Man,
• Japonska,
• Jersey,
• Nova Zelandija,
• Švica,
• Urugvaj in
• Združene države Amerike (omejeno na okvir zasebnostnega ščita)

Anne Christine Lacoste

Anne Christine Lacoste, partnerica pri Olivier Weber Avocat, je odvetnica, specializirana za pravo podatkov; bila je vodja mednarodnih odnosov pri Evropskem nadzorniku za varstvo podatkov in delala na izvajanju GDPR v Evropski uniji.