Trump proti Slaughterju: Konec transatlantskega pretoka podatkov ?

Nevladna organizacija Noyb, trn v peti digitalnih velikanov in regulatorjev, je 30. junija Evropski komisiji poslala pismo, v katerem jo je pozvala, naj načrtuje izstop iz transatlantskega okvira za varstvo podatkov (Data Privacy Framework ali DPF).

Po navedbah nevladne organizacije Združene države ne zagotavljajo več nobenega neodvisnega nadzora nad zasebnostjo.

Čeprav je predsednik Trump že odpustil dva od treh članov "Odbora za nadzor zasebnosti in državljanskih svoboščin", neodvisnega nadzornega organa, ki ga je leta 2004 ustanovil Kongres, je vrhovno sodišče Združenih držav nedvomno pravkar zadalo smrtni udarec ameriškemu neodvisnemu nadzornemu sistemu.

Sodišče je 29. junija za 180 stopinj spremenilo svojo prejšnjo sodno prakso in odločilo, da je neodvisnost Zvezne trgovinske komisije (FTC) protiustavna.

Sodba v zadevi "Trump proti Slaughterju" spada v okvir "unitarne" teorije, po kateri mora predsednik izvajati oblast nad vsemi ameriškimi izvršilnimi organi.

V skladu s to doktrino so ameriški zakoni, ki različnim agencijam podeljujejo neodvisnost, protiustavni.

“Glede na to, da se je Evropska unija močno zanašala na ’neodvisnost« Zvezne komisije za trgovino (FTC) kot svojega nadzornika zasebnosti, se je celotna struktura okvira za varstvo podatkov med EU in ZDA pravkar zrušila.»

Predsednik Noyba Max Schrems dodaja, da bo njegova nevladna organizacija v prihodnjih tednih sprožila pravni postopek, saj Združene države še vedno močno pritiskajo na EU, da ohrani pretok osebnih podatkov, s ciljem, da Sodišču Evropske unije (SEU) omogoči razveljavitev veljavnega sporazuma.

Sodba v zadevi "Schrems III" bi tako lahko dopolnila seznam dosežkov aktivista.

Poslanec in član CNIL Philippe Latombe je prav tako poslal pismo Evropski komisiji, v katerem je zahteval razveljavitev transatlantske pogodbe in pozval francoska podjetja k uvedbi suverenih rešitev za upravljanje podatkov.

Treba je opozoriti, da odločitev Evropske komisije, ki priznava ustreznost okvira zaščite, ki so ga vzpostavile Združene države Amerike, ostane v veljavi, dokler je Komisija ali Sodišče EU ne razglasi za neveljavno.

Postopek pred sodiščem običajno traja od dve do tri leta, preden je sprejeta končna odločitev.

Vendar Komisija morda ne bo čakala na izid takega postopka: v odgovor na vprašanja medijev je že napovedala, da namerava analizirati veljavnost svoje odločitve o ustreznosti glede na pomanjkanje neodvisnosti Zvezne komisije za trgovino (FTC).

Danski organ za varstvo podatkov je v izjavi z dne 1. julija nadalje navedel, da bi lahko imela odločitev vrhovnega sodišča Združenih držav Amerike še posebej široke posledice, ki bi vplivale ne le na prenose na podlagi DPF, temveč tudi na prenose, opravljene na podlagi drugih pravnih podlag, na primer na podlagi standardnih pogodb.

Organ spodbuja upravljavce podatkov, da v okviru ocene učinka prenosa pregledajo svojo oceno ravni varstva, ki jo zagotavlja država prejemnica.

Še posebej pomembno je preveriti, ali so predpogoji za neodvisen nadzor s strani organov še vedno izpolnjeni.

Za upravljavce podatkov in pooblaščence za varstvo podatkov (DPO) ta novica ponuja priložnost za posodobitev kartiranja čezatlantskih prenosov podatkov, vključno s SaaS, oblakom ali orodji umetne inteligence, da ponovno ocenijo svojo pravno podlago in po potrebi opredelijo možne alternative.

V Franciji

Po javnem posvetovanju je CNIL 30. junija objavil svoja priporočila o uporabi podatkov o lokaciji iz povezanih vozil (avtomobilov, koles, skuterjev itd.) s strani strokovnjakov.

Njegov cilj je okrepiti pravno varnost in zagotoviti večjo preglednost za uporabnike.

V informativnem listu, posodobljenem 19. junija, CNIL ponovno poudarja svoja bistvena priporočila glede uporabe digitalne tehnologije v poslovanju.

Navaja 12 priporočil in upravljavce podatkov spodbuja, da opravijo diagnozo prek vladne spletne strani.

V publikaciji z dne 10. junija določa tudi pravila, ki jih je treba upoštevati v primeru elektronske komunikacije s potencialnimi in obstoječimi strankami.

CNIL je 3. julija objavil rezultate svoje ankete, katere cilj je bil analizirati razvoj vloge pooblaščenih oseb za varstvo podatkov (DPO) glede na razvoj umetne inteligence (UI).

Zanima jo upravljanje umetne inteligence v organizacijah, novi regulativni izzivi, povezani z usklajenostjo med GDPR in evropsko uredbo o umetni inteligenci, ter potrebe pooblaščenih oseb za varstvo podatkov (DPO) glede znanj, usposabljanja in orodij.

Čeprav pooblaščena oseba za varstvo podatkov ostaja ključni akter pri zagotavljanju varstva osebnih podatkov v projektih umetne inteligence, ni namenjena samostojnemu upravljanju te skladnosti in še nima temeljitega razumevanja uredbe.

CNIL namerava prilagoditi svoja priporočila in podporo strokovnjakom tem novim izzivom in se sklicuje na orodja, ki so že na voljo na njeni spletni strani.

V torek, 16. junija, je premier v videoposnetku, objavljenem na družbenih omrežjih, napovedal dodatno javno naložbo v višini 655 milijonov evrov prek programa Francija 2030, da bi pospešil razvoj umetne inteligence v Franciji.

«Ena najbolj simboličnih objav se nanaša na Generalni direktorat za notranjo varnost (DGSI), ki končuje partnerstvo z ameriškim velikanom za analizo podatkov Palantir.“.

Za zamenjavo te tuje tehnologije se je DGSI odločil za francosko podjetje ChapsVision.

To zaskrbljenost je nedavno okrepila odločitev ameriške administracije, da v imenu nacionalne varnosti omeji dostop do nekaterih naprednih modelov umetne inteligence za tuje državljane.

Vlada želi tudi pospešiti uvajanje umetne inteligence v upravo.

Suvereni pogovorni asistent bo postopoma uveden za približno milijon državnih uslužbencev.»

Na isto temo je bilo 23. junija prekinjeno testiranje kitajskega jezikovnega modela na Generalnem direktoratu za finance zaradi "sugestivnih" ali "pristranskih" odgovorov.

Klepetalni robot je bil namenjen pomoči višjim uradnikom pri njihovih vsakodnevnih nalogah, vključno z obdelavo zaupnih ali občutljivih podatkov.

V sredo je bil nameščen nov model francoskega zagonskega podjetja Mistral AI.

Francoska nacionalna agencija za kibernetsko varnost (ANSSI) bo od leta 2027 prenehala certificirati varnostne izdelke, ki nimajo mehanizmov šifriranja, odpornih na kvantne računalnike.

Ta zahteva se bo nanašala zlasti na izdelke, namenjene občutljivim sektorjem, kot so obramba, oborožitev in javna uprava.

Podjetja imajo do leta 2030 čas za nakup le tako imenovanih "kvantno varnih" rešitev.

Pospešitev prehoda na postkvantno kriptografijo je bila tudi v središču dela podskupine G7 za kibernetsko varnost, ki se je sestala pod francoskim predsedstvom v začetku junija.

Organi za varstvo podatkov držav G7 so se na povabilo CNIL v okviru francoskega predsedovanja G7 sestali tudi 25. in 26. junija v Parizu.

Sprejeli so izjavo o mehanizmih za preverjanje starosti, ki spoštujejo zasebnost, ter dokument o razvoju povezanih objektov, ki spoštujejo zasebnost mladoletnikov.

V Evropi

Evropske institucije in organi

Svet EU je 29. junija dokončno odobril poenostavitev in racionalizacijo pravil o umetni inteligenci, ki jih določa uredba Omnibus.

Uporaba pravil v zvezi s sistemi z visokim tveganjem je za samostojne sisteme umetne inteligence z visokim tveganjem preložena na 2. december 2027, za sisteme umetne inteligence z visokim tveganjem, integrirane v izdelke, pa na 2. avgust 2028.

Besedilo dodaja določbo k uredbi o umetni inteligenci, ki prepoveduje prakse umetne inteligence, povezane z ustvarjanjem spolnih in intimnih vsebin brez privolitve ali otroške pornografije.

Sistemi umetne inteligence, ki ustvarjajo slike golih resničnih ljudi ali odstranjujejo oblačila z obstoječih fotografij, da bi razkrili intimne dele, bodo prav tako prepovedani od decembra 2026.

Nova uredba prestavlja rok za vzpostavitev regulativnih «peskovnikov» za umetno inteligenco s strani pristojnih organov na nacionalni ravni na 2. avgust 2027 in skrajšuje obdobje, ki je ponudnikom odobreno za uvedbo rešitev za preglednost v zvezi z umetno ustvarjenimi vsebinami, s 6 na 3 mesece, pri čemer je novi rok določen na 2. december 2026.

Glede na dokument, ki ga je videl Politico, predsednica Evropskega parlamenta Roberta Metsola poskuša sprejeti kontroverzni zakon o filtriranju spletnih vsebin otroške pornografije (CSAM), ki ga je marca lani na plenarnem zasedanju zavrnila njena lastna skupščina.

Predsednik je države članice, zbrane v Svetu, pozval, naj odobrijo osnutek, ki bi tehnološkim platformam omogočil prostovoljno skeniranje svojih storitev za vsebino otroške pornografije, kar je vprašanje, ki je predmet burnih polemik: policija in nekateri zagovorniki otrokovih pravic ter več evropskih komisarjev trdijo, da pomanjkanje zakonodaje plenilcem in pedofilom omogoča, da na internetu delujejo nekaznovano.

Zagovorniki zasebnosti in varnostni strokovnjaki medtem menijo, da bi ti predlogi lahko privedli do nesprejemljivega množičnega nadzora in konca šifriranja.

Sodišče EU je 18. junija 2026 v sodbi C-484/24 – NTH Haustechnik pojasnilo, da osebnih podatkov, pridobljenih nezakonito, ne bi smelo biti samodejno izključenih iz sodnih postopkov.

Sodišča jih lahko uporabijo, če je to nujno potrebno in sorazmerno z opravljanjem njihovega poslanstva, pri čemer spoštujejo načela GDPR, zlasti zmanjšanje količine podatkov.

Vendar pa ta možnost ne pomeni, da je začetno zbiranje informacij zakonito, in ne odvezuje avtorja od morebitnih kršitev pravil o varstvu podatkov.

Evropski odbor za varstvo podatkov (EDPB) je 10. junija sprejel model za obveščanje o kršitvah varnosti podatkov.

Ta model je namenjen predvsem izvajanju s strani APD-jev z uporabo računalniškega orodja.

Model je predmet javne razprave, kar deležnikom ponuja možnost, da do 5. avgusta delijo svoje pripombe in povratne informacije o njegovi vsebini.

Google bo od 3. avgusta dalje uporabljal IP-naslove uporabnikov interneta v Evropskem gospodarskem prostoru, Združenem kraljestvu in Švici za merjenje in prilagajanje oglasov.

Čeprav Google te podatke že zbira iz tehničnih razlogov, se njihova uporaba razvija: naslov IP se zdaj lahko uporablja za identifikacijo naprav za namene ciljanega oglaševanja.

Ta praksa, ki jo ureja GDPR, bo zahtevala soglasje uporabnika, ki bi moralo biti vključeno v mehanizme, ki se že uporabljajo za upravljanje oglaševalskih nastavitev in piškotkov.

Novice iz držav članic Evropske unije.

Belgijski in španski organ za varstvo podatkov (DPA) sta 18. junija skupaj objavila priporočila in najboljše prakse za sektor videoiger.

To sodelovanje izhaja iz potrebe, ki so jo oblasti ugotovile po regulaciji sektorja, ki vključuje več kot 3 milijarde uporabnikov po vsem svetu in uporablja vsiljive tehnologije.

Dokument analizira najpogostejše dejavnosti obdelave osebnih podatkov v videoigrah, opredeljuje grožnje in tveganja, ki jih te prinašajo, ter predlaga priporočila in najboljše prakse.

Na Hrvaškem je APD oglobil nepremičninsko agencijo zaradi hrambe podatkov o strankah, ki presega namen obdelave, shranjevanja kopij osebnih dokumentov in bančnih kartic brez pravne podlage ter nezadostnega usposabljanja zaposlenih o obdelavi osebnih podatkov.

Španska agencija za varstvo podatkov (APD) je 8. junija objavila smernice glede uporabe kamer v domovih za ostarele za uskladitev oskrbe in zasebnosti.

Prav tako je družbi Vodafone España naložila globo v višini 1.050.000 evrov, potem ko je tretji osebi uspelo zaobiti varnostne kontrole in pridobiti račun stranke, ki je vseboval nepooblaščen e-poštni naslov, ter ustvariti drugo mobilno linijo, goljufivo registrirano na ime pritožnika.

Nazadnje je banki CaixaBank naložila globo v višini 500.000 evrov zaradi sistemskih pomanjkljivosti pri varstvu podatkov, ki so nastale po večkratnih varnostnih kršitvah.

Organ je banko posebej pozval, naj izboljša svoje zmogljivosti za odkrivanje kršitev in okrepi postopke za identifikacijo oseb in podatkov, vpletenih v primeru incidenta.

Irski organ za varstvo podatkov (DPA) je javno zdravstveno službo, Health Service Executive (HSE), oglobil s 300.000 evri zaradi kibernetskega napada z izsiljevalsko programsko opremo leta 2018, v katerem so bili ukradeni osebni podatki približno 84.000 pacientov.

Preiskava je ugotovila, da HSE ni izvedel zadostnih tehničnih in organizacijskih varnostnih ukrepov, ni imel dokumentacije, skladne z GDPR, in ni ustrezno nadzoroval svojih podizvajalcev.

Poleg globe je DPC odredil HSE, naj trajnostno okrepi svoje politike in postopke za varnost podatkov.

Norveški organ za varstvo podatkov (APD) je podjetju Elkjøp naložil upravno globo v višini 20 milijonov norveških kron, zlasti zaradi pomanjkanja veljavnega soglasja za obdelavo osebnih podatkov v okviru kluba zvestobe, nezadostnih ocen novih namenov obdelave in neodzivnosti na zahteve posameznikov, na katere se nanašajo osebni podatki, v rokih, določenih v GDPR.

Mednarodno

V Združenem kraljestvu je policist iz Derbyshira pod preiskavo, potem ko je bil v več sodnih primerih obtožen uporabe umetne inteligence za ponarejanje dokazov.

Oblasti pregledujejo morebitne relevantne datoteke, medtem ko je bil policist odstavljen z operativnih dolžnosti.

Ta primer, ki bi lahko pomenil resno zlorabo pravosodja, se pojavlja v času, ko britanske policijske sile povečujejo uporabo umetne inteligence, kar ponovno sproži razpravo o tveganjih in potrebi po strogi regulaciji teh tehnologij.

Več policijskih oddelkov je bilo nedavno zaprošenih, naj zaradi dejanskih napak začasno ustavijo nekatere uporabe umetne inteligence, zlasti pri pripravi dokumentov za sodišča.

Tudi v Združenem kraljestvu morajo organizacije, za katere velja britanska zakonodaja o varstvu podatkov, od 19. junija vzpostaviti postopek, ki fizičnim osebam omogoča vložitev pritožb v zvezi z njihovimi osebnimi podatki.

Posamezniki morajo najprej nasloviti svojo pritožbo na zadevno organizacijo, preden se obrnejo na Urad informacijskega pooblaščenca.

Na Kitajskem bodo 15. julija začeli veljati začasni ukrepi v zvezi z upravljanjem antropomorfnih interaktivnih storitev, ki temeljijo na umetni inteligenci.

Ta uredba ureja hitro rastoči sektor virtualnih spremljevalcev in robotov za čustveno podporo, ki temeljijo na umetni inteligenci.

Ponudniki teh storitev bodo morali uporabnike jasno obvestiti, da komunicirajo z umetno inteligenco, vzpostaviti mehanizme za preprečevanje čustvene odvisnosti, zaznavati stisko ali tveganje, zaščititi mladoletnike in omejiti njihov dostop do virtualnih spremljevalcev.

Prav tako bodo morali izpolnjevati zahteve glede upravljanja, kot so registracija algoritmov, izvajanje varnostnih ocen v nekaterih primerih ter izvajanje ukrepov za varstvo podatkov in obvladovanje tveganj.

Iberoameriška mreža za varstvo podatkov (RIPD) je sprejela referenčni dokument, katerega cilj je okrepiti zaščitne ukrepe, ki se uporabljajo za obdelavo "nevrodatov", ki izvirajo iz tehnologij, ki lahko merijo ali sklepajo o možganski aktivnosti.

Besedilo priporoča okrepljeno zaščito teh podatkov, večjo preglednost njihove uporabe in delovanja ter omejitve ali celo prepovedi za nekatere uporabe, ki se štejejo za nezdružljive s temeljnimi pravicami, zlasti kadar so namenjene manipuliranju vedenja ali izkoriščanju ranljivih oseb.

Anthropic je razgradil svoja dva najzmogljivejša modela umetne inteligence.

Washington je zaradi pomislekov glede "nacionalne varnosti" zahteval, da ameriško zagonsko podjetje, specializirano za umetno inteligenco, omeji dostop do Claude Fable 5 in Mythos 5 le na ameriške državljane.

Po navedbah podjetja Anthropic je te zahteve nemogoče izpolniti. Anthropic je 22. maja napovedal svoj projekt Glasswing in navedel, da je njegov model umetne inteligence za kibernetsko varnost, Mythos, odkril več kot 10.000 ranljivosti v široko uporabljeni programski opremi in projektih z odprto kodo.