Digitální omnibus EU = revoluce v ochraně osobních údajů?

Evropská komise zveřejnila návrh na balíček změn v digitální regulaci, který otřásl odbornou veřejností. Návrh počítá se změnou definice osobního údaje i rozvolněním pravidel pro vývoj AI. Zmizet by měly i cookies lišty. Neoslabí ale chystané zjednodušení ochranu osobních údajů?

Evropská regulace digitálního prostředí v posledních letech výrazně nabobtnala, ostatně to asi čtenáři tohoto Zpravodaje dobře vědí. Na podnikatele i veřejné instituce dopadají pravidla GDPR, směrnice ePrivacy, aktu o správě dat (DGA), směrnice NIS2, nařízení o digitálních službách (DSA), nařízení o digitálních trzích (DMA) i aktu o umělé inteligenci. Veřejnost je pak rozdělena v hodnocení, zda je to dobře, nebo špatně – lépe řečeno, většina podnikatelské veřejnosti má jasno, zatímco mnoho z těch, kteří mají být normami chráněni primárně, dané změny vlastně nezajímají a ani o nich běžně nepřemýšlejí (nebo jen v negativním slova smyslu, protože je například cookies lišta jen „otravuje“).

To vše by se ale mohlo do budoucna změnit. Evropská komise si totiž uvědomuje problémy spojené s novými předpisy, a proto přichází s návrhem digitálního omnibusu, což je balíček změn, který má tuto změť předpisů částečně uklidit, zjednodušit a zároveň podpořit konkurenceschopnost EU. Návrh zasahuje do GDPR, pravidel pro cookies, aktu o správě dat i do oblasti umělé inteligence. Nejde o převratnou revoluci, ale o důležitou revizi, která by měla digitální regulaci udělat srozumitelnější a praktičtější. Pojďme se tedy podívat na to, jaké změny tento návrh přináší.

Návrh zasahuje do GDPR, pravidel pro cookies, aktu o správě dat i do oblasti AI

Nová definice osobních údajů

Jednou z největších změn návrhu omnibus je přeformulování toho, co GDPR považuje za osobní údaj. Dosud platilo, že osobním údajem je vše, podle čeho lze identifikovat konkrétní osobu, a to i potenciálně, tedy pokud identifikace je, byť jen teoreticky, možná. K tomuto postupu pak existuje relativně bohatá judikatura a bezpečné pravidlo „považovat za osobní údaje úplně vše, pokud se velmi důkladně nepřesvědčíme o opaku“.

Návrh omnibusu toto však mění, přičemž nově by osobním údajem mohl být pouze takový údaj, u kterého má konkrétní osoba zpracovávající osobní osobu identifikovat. To znamená, že osobní údaj se stává relativní vůči tomu, kdo ho zpracovává. Dva subjekty tak mohou pracovat se stejnými údaji, ale u jednoho to bude osobní údaj, u druhého nikoliv.

Jednoduše řečeno, pokud osoba například v pozici správce nemá rozumnou možnost někoho zpětně identifikovat, pak se s údaji nemusí zacházet jako s osobními údaji, a to i pokud by identifikace byla možná u jiného správce. Pseudonymizované údaje, interní analýzy či agregované údaje tak mohou v rukou jednoho správce spadat pod GDPR, v rukou druhého už ne. Tímto by se tak prakticky opustilo objektivní pojetí definice osobních údajů a také zpracování.

Od této změny si Evropská komise slibuje úlevu pro menší firmy, na které GDPR dopadalo příliš tvrdě. Zachovává ale tato změna celkový smysl GDPR? Odborná veřejnost totiž upozorňuje, že se těžko může hovořit o zjednodušení, ale spíše o omezení ochrany subjektů údajů. V praxi tak může docházet k faktickému vyvádění části zpracování osobních údajů mimo GDPR, a to právě s využitím redefinice pseudonymizace osobních údajů. V konečném důsledku se tak očekává, že prosazování práv subjektů údajů se tímto významně ztíží. Každý si jistě pamatuje různé snahy kreativních výkladů již za stávající úpravy – co by mohlo vzniknout především, je chaos.

GDPR a umělá inteligence

Umělá inteligence se stává stále běžnější součástí služeb i produktů. EU se proto snaží sladit pravidla GDPR s realitou vývoje umělé inteligence. Návrh omnibusu proto přináší do GDPR několik novinek týkajících se umělé inteligence, což samo o sobě můžeme hodnotit jako rozumný přístup. Samotné projevy této snahy však už méně.

První novinkou je nový oprávněný zájem pro umělou inteligenci. Vývoj (trénování) a provoz systému umělé inteligence může být nově uplatněn jako oprávněný zájem správce ve smyslu čl. 6 odst. 1 písm. f) GDPR. Pokud tedy právo EU nebo národní předpisy nebudou výslovně vyžadovat souhlas, bude možné zpracování osobních údajů za účelem vývoje a provozu umělé inteligence opřít o oprávněný zájem správce. Pořád však bude nutné dodržet podmínky pro použití oprávněného zájmu tak, jak je vyžaduje GDPR. Správci, kteří vyvíjejí a provozují umělou inteligenci, tak budou muset prokázat, že jejich oprávněný zájem převažuje nad právy a svobodami jednotlivců na soukromí skrze balanční test, dodržovat zásadu minimalizace osobních údajů, řádně informovat dotčené osoby o zpracování či umožnit jim vznést proti tomuto zpracování námitku.

Umělé inteligence se dotýká i novinka spočívající v nové definici vědeckého výzkumu, která upřesňuje, že další zpracování pro vědecké účely je slučitelné s původním účelem zpracování a že vědecký výzkum představuje oprávněný zájem ve smyslu čl. 6 odst. 1 písm. f) GDPR. Tuto novinku ocení nejenom vývojáři umělé inteligence, ale i univerzity či zdravotnické organizace.

Na umělou inteligenci dopadají i nové výjimky v oblasti zpracování tzv. citlivých údajů dle čl. 9 GDPR. Nově bude umožněno zpracování citlivých údajů v souvislosti s vývojem a provozem systémů umělé inteligence. Správci jsou sice povinni se takovému zpracování vyhnout, ale pokud se v trénovacích datech tyto údaje vyskytnou, správci nejsou povinni je odstranit, pokud by toto odstranění vyžadovalo nepřiměřené úsilí. Správci však v každém případě musejí takové údaje účinně chránit.

Další výjimkou ve zpracování citlivých osobních údajů jsou pak případy zpracování biometrických údajů, jež jsou nezbytné za účelem potvrzení, tedy ověření totožnosti subjektu údajů, pokud jsou biometrické údaje nebo prostředky potřebné k ověření pod výlučnou kontrolou subjektu údajů.

Tyto změny bezpochyby usnadní práci vývojářů, ale zároveň s nimi může přicházet i riziko snadnějšího zneužití osobních údajů, a to právě včetně citlivých údajů. V rámci odborné veřejnosti pak padají slova i o kroku zpět v rámci celé ochrany a oslabení klíčových ochranných mechanismů, tedy transparentnosti, dohledu a povinností pro vysoce rizikovou AI. V konečném důsledku pak zaznívají obavy o vyprázdnění institutu souhlasu a devalvaci samotného jádra GDPR, které staví těžiště zpracování osobních údajů kolem subjektu údajů a jeho možnosti volby či uplatnění práv, jež mu nařízení přiznává. V době, kdy světová zdravotnická organizace (WHO) upozorňuje na fakt, že aktuální regulační vakuum ve skutečnosti už teď ohrožuje pacienty, přichází komise s návrhem, který toto vakuum ještě více vyprazdňuje.

Změny v oblasti cookies

Asi nejčastější stížnost obyčejného uživatele internetu spočívá v tom, proč musí na každé stránce, kterou otevře, odklikávat „otravné“ cookies lišty – tuto skutečnost pak mnozí dávají za vinu právě pravidlům EU. Nový omnibus by měl přinést v tomto ohledu pro uživatele jakousi úlevu.

Pravidla cookies by tak mohla být nově upravena i přímo v GDPR a přinesla by několik změn. Souhlas s cookies by mělo být nově možné nastavit pouze jednou, například v prohlížeči. Veškeré weby pak budou muset takto udělený souhlas respektovat. Uživatelé tak přirozeně nebudou muset odklikávat cookies lišty u každého webu zvlášť. Takto udělený souhlas by mělo být možné stejně snadno odmítnout či odvolat, tedy též jedním kliknutím. Zároveň nebude nově potřeba souhlas pro některé analytické cookies, jako jsou například cookies za účelem měření návštěvnosti či za účelem bezpečnosti webu, což navazuje již na tendence z přípravy nařízení ePrivacy (které však světlo světa nespatřilo a nespatří).

Výhodou těchto změn bude, že uživatelé nebudou „obtěžováni“ potřebou neustálého odklikávání cookie lišt. Na druhou stranu toto zjednodušení nese i určité riziko, a to zejména ve spojení s užší definicí osobních údajů. Samotné řešení souhlasu prostřednictvím prohlížeče bylo dlouhodobě diskutováno v minulosti. Stanovisko WP29 už před 15 lety upozorňovalo, že aby takový souhlas fungoval, musel by prohlížeč v základním nastavení cookies odmítat. Uživatel by tedy musel provést aktivní krok k tomu, aby byl souhlas udělen v rámci granularity, a to vše po poskytnutí plné a srozumitelné informace. Toto řešení označil za teoreticky možné i EDPB a jeho pracovní skupina pro cookies.

Podle nových pravidel by se souhlas s cookies uděloval jednotně pro všechny weby

Novinky v oblasti hlášení incidentů

Podnikatelé i veřejné instituce dnes oznamují bezpečnostní incidenty podle několika předpisů, často jiným úřadům a v jiných lhůtách. Návrh omnibusu proto zavádí centralizovaný „single entry point“ (jednotný vstupní bod) pro hlášení incidentů pokrytých několika předpisy EU, včetně směrnice NIS2, zákona o digitální operační odolnosti (DORA), GDPR, nařízení o digitální identitě (eIDAS) a směrnice o odolnosti kritických subjektů (CER). Jde o jedno společné evropské rozhraní, přes které se incident nahlásí a systém ho přesměruje tam, kam patří.

Tento centralizovaný systém pro hlášení incidentů si klade za cíl snížit byrokracii tím, že odstraní nutnost hlášení incidentů odděleně různým národním orgánům. Prodloužit se má i lhůta pro hlášení porušení ochrany osobních údajů, a to z nynějších 72 hodin pro ohlášení incidentů dle GDPR až na 96 hodin.

Další změny

Návrh omnibusu přináší změny i v dalších právních předpisech EU. Upravuje například akt o správě dat tak, aby byl pro firmy praktičtější. Omezují se požadavky na povinné sdílení dat státu jen na opravdu výjimečné situace, posiluje se ochrana obchodního tajemství a mírní se požadavky na poskytovatele cloudu a datových služeb, zvlášť pro menší firmy. Cílem je, aby sdílení dat bylo možné, ale ne na úkor bezpečnosti a konkurenceschopnosti evropských podniků.

U aktu o umělé inteligenci přichází omnibus hlavně s jakýmsi odlehčením a odklady, které se u odborné veřejnosti taktéž nevyhnuly kritice. Část přísnějších pravidel pro vysoce rizikové systémy umělé inteligence se má začít uplatňovat až ve chvíli, kdy budou k dispozici potřebné standardy a metodiky, aby firmy věděly, jak je plnit. Zároveň se rozšiřují úlevy pro menší hráče a upřesňuje se možnost zpracovávat citlivá data za účelem snižování zkreslení (biasu) v systémech umělé inteligence.

Co to znamená pro praxi?

Na nový digitální omnibus se můžeme dívat ze dvou hledisek. Na jedné straně jde o vítané zjednodušení spočívající ve snaze o sjednocení pravidel, zpřehlednění a snížení administrativní zátěže. Pro podnikatele i veřejné instituce může omnibus přinést více prostoru pro inovace a o něco menší strach z toho, že „něco někde nesplnily“.

Na druhé straně však návrh posouvá hranici mezi ochranou soukromí a podporou inovací. Užší definice osobních údajů, větší flexibilita pro vývoj a provoz AI systémů nebo benevolentnější režim pro některé typy cookies mohou v praxi vést k intenzivnějšímu zpracování údajů, často bez vědomí a souhlasu uživatelů.

Důležité je také nezapomenout, že v tuto chvíli jde pouze o návrh a teprve ho čeká projednání v Radě EU a Evropském parlamentu. Výsledný text se tak ještě může v řadě detailů změnit a asi není potřeba extenzivně připomínat, že lze očekávat celkem kritické hlasy k této iniciativě. Už teď je však zřejmé, že cílem návrhu je méně roztříštěná regulace a větší důraz na konkurenceschopnost a inovace. Otázkou však zůstává, zda k naplnění těchto cílů nedojde na úkor ochrany soukromí a zda taková změna bude všeobecně akceptována.

Článek byl publikován v Elektronickém zpravodaji pro pověřence