Novo leto v znamenju pričakovanj

Pravna ura št. 42 – December 2021

Novo leto v znamenju pričakovanj

Kar zadeva varstvo podatkov, leto, ki se začenja, ne napoveduje nobenih večjih novosti, temveč bolj razvoj in morda strateške odločitve glede nekaterih aktualnih vprašanj.

Osredotočimo se na tri od njih: izvajanje GDPR s strani nadzornih organov, zdravstvena vprašanja in regulacijo digitalnih velikanov.

Ena od ponavljajočih se tem od začetka veljavnosti GDPR se nanaša na resnost njenega izvajanja s strani nacionalnih organov za varstvo podatkov. in veliko razliko med številom in strogostjo sprejetih sankcij, odvisno od tega, ali je odgovorna oseba na primer na Irskem ali v Španiji.

Slednja država je očitno ena tistih, ki je naložila največ sankcij, medtem ko lahko Luksemburg in CNIL zahtevata najvišje globe proti GAFAM-u (spomnimo se globe v višini 746 milijonov evrov, ki jo je Luksemburg naložil podjetju Amazon).

Na drugem koncu spektra je irski organ za varstvo podatkov, ki so ga nekateri njegovi kolegi, pa tudi podpredsednik Evropske komisije, odkrito kritizirali zaradi njegove ohlapnosti do glavnih spletnih akterjev.

Da bi okrepili kohezijo in učinkovitost nadzornih postopkov znotraj Evrope, nekateri govorijo o okrepitvi pooblastil Evropskega odbora za varstvo podatkov (EDPB).

Vprašanje bo obravnavano na konferenci, ki jo bo 16. in 17. junija v Bruslju organiziral Evropski nadzornik za varstvo podatkov.

Obdelava zdravstvenih podatkov je po zdravstveni krizi še ena pomembna tema, ki vzbuja zaskrbljenost..

So zaskrbljeni

• Vprašanja v zvezi s pogoji medicinskih raziskav,
• Obdelava genetskih podatkov in tveganja nadaljnje prodaje podatkov, zbranih v okviru presejalnih testov, s strani nekaterih laboratorijev, kot je pokazal nedavni britanski primer podjetja Signpost Diagnostics,
• Sledenje posameznikom prek aplikacij in drugih zdravstvenih izkaznic, 

• In končno, tveganja, povezana z varnostjo podatkov: mislimo zlasti na kršitev varnosti podatkov v zvezi z rezultati testov Covid podjetja FranceTest, ki mu je CNIL oktobra lani uradno naročil, naj zavaruje svoje podatke, ali na uhajanje podatkov v zvezi z Assistance Publique-Hôpitaux de Paris.

Čeprav CNIL redno objavlja svoja stališča o tej temi, ugotavljamo, da je v svoji obravnavi v parlamentu 30. novembra navedel, da čaka, da vlada zagotovi elemente, namenjene podpori učinkovitosti uvedenih datotek in sredstev nadzora.

Tretje aktualno vprašanje se nanaša na regulativne pobude Evropske unije glede digitalnih storitev in umetne inteligence.

Poleg upravljanja piškotkov, ki ostaja v središču pozornosti nacionalnih organov, je evropski zakonodajalec zaskrbljen tudi zaradi naraščajoče moči spletnih velikanov, teh posrednikov v prevladujočem položaju, ki zagotavljajo storitve sporočanja in družbenih omrežij.

Prav tako je sporna uporaba biometričnih podatkov in umetne inteligence za vse bolj vsiljive namene profiliranja ter manipulacija internetnih uporabnikov brez njihove vednosti (temni vzorci) s predstavljanjem ciljno usmerjenih vsebin.

Na evropski ravni je v postopku sprejemanja več besedil, vključno z dvema predlogoma Evropske komisije o digitalnih trgih in digitalnih storitvah ter predlogom o umetni inteligenci. 

Evropski parlament je svoje stališče o predlogu o digitalnih trgih sprejel 5. decembra.

Med spremembami besedila je dodatek zahteve po interoperabilnosti med storitvami glavnih platform za takojšnje sporočanje in družbenih omrežij, cilj pa je uporabnikom omogočiti enostavno menjavo ponudnikov storitev in boj proti prevladujočim položajem.

Na začetku francoskega predsedovanja Svetu Evropske unije je evropski nadzornik za varstvo podatkov pravkar izrazil francoski vladi najboljše želje za uspeh, pri čemer je poudaril pomen teh treh pomembnih vprašanj, povezanih z digitalno tehnologijo in umetno inteligenco, ter nakazal, da bo pozorno spremljal razvoj na teh področjih.

Čeprav se zdi, da so nekatere prednostne naloge že dobro opredeljene, upajmo, da nam bo to novo leto končno prineslo svoj delež lepih presenečenj in tudi veliko svežega zraka.

In tudi

Francija:

CNIL je podjetje sankcioniral 6. januarja. Google v višini 150 milijonov evrov, podjetje pa Facebook do 60 milijonov evrov zaradi neupoštevanja zakonskih določb glede piškotkov.

CNIL je 28. decembra podjetju naložil globo v višini 300.000 evrov. BREZPLAČEN MOBILNI TELEFON, zlasti zaradi nespoštovanja pravic posameznikov in varnosti podatkov svojih uporabnikov.

Istega dne je družbi naložil tudi sankcije SLIMPAY, ki svojim strankam ponuja plačilne rešitve, je bila kaznovana s 180.000 evri, ker ni ustrezno zaščitila osebnih podatkov uporabnikov in jih ni obvestila o kršitvi varnosti podatkov.

Predsednik CNIL je podjetje uradno obvestil 26. novembra. CLEARVIEW AI prenehati zbirati fotografije in videoposnetke, ki so na voljo na spletu, in izbrisati podatke v roku dveh mesecev.

Podjetje je razvilo programsko opremo za prepoznavanje obrazov, katere baza podatkov temelji na ekstrakciji fotografij in videoposnetkov, ki so javno dostopni na internetu.

A nova različica priročnika za razvijalce CNIL je bil pravkar objavljen. Ta priročnik ponuja novo vsebino, namenjeno podpori strokovnjakom za spletni razvoj in razvoj aplikacij pri zagotavljanju skladnosti njihovega dela s predpisi.

Tam SNCF Decembra je svojih 7000 strežnikov in 250 aplikacij preselil v Amazonov oblak, natančneje v tri podatkovne centre v pariški regiji.

Cilj podjetja je tudi razširiti uporabo umetne inteligence.

Evropa

TA Evropski odbor za varstvo podatkov je 14. decembra objavil smernice za pomoč upravljavcem podatkov pri obvladovanju varnostnih kršitev.

Besedilo vsebuje veliko število primerov in opisuje ukrepe, ki jih je treba sprejeti glede na vrsto prekrška.

Agencija Evropske unije za temeljne pravice (FRA) v sodelovanju z organi za varstvo podatkov objavlja priročnik, namenjen boljšemu obveščanju prosilcev za azil in migrantov o uporabi njihovih prstnih odtisov.

Ko jih ustavijo na zunanji meji Evropske unije, morajo oddati prstne odtise, ki se shranijo v datoteko Eurodac.

Upravno sodišče v Wiesbadnu Nemško podjetje je 1. decembra Univerzi uporabnih znanosti RheinMain naročilo, naj preneha uporabljati upravitelja soglasij »Cookiebot«. Razlog za to je bil nezakonit prenos podatkov obiskovalcev spletnega mesta v Združene države Amerike.

Finski organ za varstvo podatkov 7. decembra je podjetje za psihoterapijo kaznovalo z več kot 600.000 evri, ker ni ustrezno zagotovilo varnosti podatkov svojih pacientov in jih ni obvestilo o dveh varnostnih kršitvah, ki sta privedli do izsiljevanja zadevnih pacientov in podjetja samega.

Norveški organ za varstvo podatkov naložil globo v višini 6.300.000 evrov Grindr deliti podatke svojih uporabnikov s tretjimi osebami za namene profiliranja in oglaševanja brez njihovega soglasja.

Nizozemska davčna uprava je bila kaznovana z globo v višini 2.750.000 EUR zaradi obdelave podatkov brez pravne podlage in v nasprotju z načelom pravičnosti (člena 5(1)(a) in 6(1)(e) GDPR).

Belgijsko ministrstvo za obrambo je bil 20. decembra žrtev resnega kibernetskega napada, ki ga je povzročila zlonamerna programska oprema Log4Shell, ki je več dni vplivala na dejavnosti uprave. 

Belgijski organ za varstvo podatkov je podjetju naložil globo v višini 10.000 evrov zaradi nakupa baze podatkov za namene neposrednega trženja, ne da bi preveril, ali so bili podatki zbrani zakonito.

Družba prav tako ni obvestila zadevnih posameznikov o tem posrednem zbiranju niti ni odgovorila na zahtevo posameznika za dostop.

Mednarodno:

Amazon je vložil več patentnih prijav za biometrične tehnologije, zasnovane tako, da omogočajo kameram videotelefonov zaznavanje sumljivih oseb na podlagi različnih meril: vonja, teksture kože, prstnih odtisov, oči, glasu in hoje.

Tam Južna Koreja Od 17. decembra velja, da zagotavlja ustrezno raven zaščite. Odločitev Evropske komisije prihaja nekaj mesecev po sklenitvi sporazuma o prosti trgovini med Evropsko unijo in Korejo, ki je začel veljati julija 2021.

Od 15. februarja Kitajska vlada bo kitajska podjetja z mednarodnimi poslovnimi operacijami podvrgel vrsti kontrol kibernetske varnosti.

Namen pregledov je omejiti prenos strateških podatkov zunaj države.