EVROPSKA KOMISIJA
Bruselj, 24.7.2019
COM(2019) 374 final
SPOROČILO KOMISIJE EVROPSKEMU PARLAMENTU IN SVETU
Pravila o varstvu podatkov za utrjevanje zaupanja v EU in zunaj nje – ocena
EVROPSKA KOMISIJA
Bruselj, 24.7.2019
COM(2019) 374 final
SPOROČILO KOMISIJE EVROPSKEMU PARLAMENTU IN SVETU
Pravila o varstvu podatkov za utrjevanje zaupanja v EU in zunaj nje – ocena
Sporočilo Komisije Evropskemu parlamentu in Svetu
Pravila o varstvu podatkov za utrjevanje zaupanja v EU in zunaj nje – ocena
I.Uvod
Splošna uredba o varstvu podatkov 1 (v nadaljnjem besedilu: Uredba) se v Evropski uniji uporablja že več kot eno leto ter je središče usklajenega in moderniziranega področja varstva podatkov EU, ki vključuje tudi direktivo o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj 2 in uredbo o varstvu podatkov za institucije in organe EU 3 . Ta okvir naj bi dopolnila uredba o zasebnosti in elektronskih komunikacijah, ki je trenutno v zakonodajnem postopku.
Stroga pravila o varstvu podatkov so bistvena za zagotavljanje temeljne pravice do varstva osebnih podatkov. So osrednjega pomena za demokratično družbo 4 in pomemben sestavni del vse bolj podatkovno vodenega gospodarstva. EU si prizadeva izkoristiti številne priložnosti, ki jih ponuja digitalizacija v smislu storitev, delovnih mest in inovacij, hkrati pa obravnavati izzive, ki pri tem nastajajo. Kraja identitete, razkritje občutljivih podatkov, diskriminacija posameznikov, inherentna pristranskost, izmenjava nezakonitih vsebin in razvoj vsiljivih nadzornih orodij je le nekaj primerov vprašanj, ki so vedno bolj prisotna v javni razpravi, iz katere je razvidno, da ljudje pričakujejo, da bodo njihovi podatki zaščiteni.
Varstvo podatkov je postalo pravi globalni pojav, saj ljudje po celem svetu vse bolj cenijo varnost in varstvo svojih podatkov. Številne države so sprejele ali trenutno sprejemajo celovita pravila o varstvu podatkov na podlagi načel, podobnih tistim iz Uredbe, zaradi česar je prišlo do globalne konvergence pravil o varstvu podatkov. S tem so se pojavile nove priložnosti za olajšanje pretoka podatkov med komercialnimi operaterji ali javnimi organi, hkrati pa se izboljšuje raven varstva osebnih podatkov v EU in po vsem svetu.
Varstvo podatkov se obravnava bolj resno kot kdaj koli prej in ima velik vpliv na različne deležnike in sektorje. Komisija je odločena poskrbeti, da bo EU uspešno izvajala novo ureditev varstva podatkov in bo podprla vse vidike te ureditve, da se bo ta začela v celoti izvajati. Komisija v tem sporočilu povzema dosežene rezultate v zvezi z doslednim izvajanjem pravil o varstvu podatkov v EU, delovanjem novega sistema upravljanja, vplivom na državljane in podjetja ter prizadevanji EU za spodbujanje konvergence ureditev varstva podatkov na svetovni ravni. To sporočilo je nadaljevanje sporočila Komisije o uporabi Uredbe iz januarja 2018 5 in temelji na delu večdeležniške skupine 6 , zlasti o njenem prispevku k enoletnem pregledu stanja, pa tudi razpravah, ki so potekale ob pregledu stanja, ki ga je Komisija organizirala 13. junija 2019 7 . Hkrati je tudi prispevek k pregledu, ki ga Komisija namerava izvesti do maja 2020 8 .
Zakonodajni okvir za varstvo podatkov v EU je temelj evropskega pristopa k inovacijam, osredotočenim na človeka. Postaja del regulativnega okvira za vse več politik, vključno z zdravstvom in raziskavami, umetno inteligenco, prometom, energijo, konkurenco ter preprečevanjem, odkrivanjem in preiskovanjem kaznivih dejanj. Komisija je dosledno poudarjala pomen ustreznega izvajanja in uveljavljanja novih pravil o varstvu podatkov, kot je poudarjeno v njenem sporočilu o uporabi Uredbe, izdanem januarja 2018, in njenih smernicah o uporabi osebnih podatkov v volilnem kontekstu, ki so bile objavljene septembra 2018 9 . Do tega sporočila je bil pri doseganju tega cilja dosežen velik napredek, zagotovo pa je potrebnega več dela, da bi se Uredba lahko začela v celoti izvajati.
II.Ena celina, en zakon: okvir varstva podatkov je v državah članicah vzpostavljen
Eden od ključnih ciljev Uredbe je bil odpraviti razdrobljenost zaradi 28 različnih nacionalnih zakonov, ki so obstajali na podlagi prejšnje direktive o varstvu podatkov 10 , in zagotoviti pravno varnost za posameznike in podjetja po vsej EU. Ta cilj je bil večinoma dosežen.
Harmonizacija pravnega okvira
Čeprav se Uredba neposredno uporablja v državah članicah, jih tudi zavezuje, da na nacionalni ravni sprejmejo številne pravne ukrepe, zlasti za vzpostavitev in dodelitev pristojnosti nacionalnim organom za varstvo podatkov 11 , določijo pravila o posebnih vprašanjih, kot so usklajevanje varstva osebnih podatkov s svobodo izražanja in obveščanja, ter spreminjajo ali razveljavljajo sektorsko zakonodajo, ki se nanaša na varstvo podatkov. V času tega sporočila so vse države članice razen treh 12 posodobile svojo nacionalno zakonodajo o varstvu podatkov. Na nacionalni ravni še potekajo prizadevanja v zvezi s prilagajanjem sektorskih zakonov. Po vključitvi Uredbe v Sporazum o Evropskem gospodarskem prostoru je bila njena uporaba razširjena na Norveško, Islandijo in Lihtenštajn, ki so tudi sprejele svojo nacionalno zakonodajo o varstvu podatkov.
Vendar deležniki pozivajo k še višji stopnji harmonizacije na nekaterih področjih 13 . Uredba državam članicam omogoča, da podrobneje opredelijo njeno uporabo na nekaterih področjih, kot sta starostna meja privolitve s strani otrok za uporabo spletnih storitev 14 ali obdelava osebnih podatkov na področjih, kot sta medicina in javno zdravje. V tem primeru ukrepanje držav članic temelji na dveh elementih:
I)vsi zakoni, ki zadevajo nacionalno specifikacijo, morajo izpolnjevati zahteve iz Listine o temeljnih pravicah 15 (in ne smejo presegati omejitev iz Uredbe, ki temelji na Listini);
II)ne sme posegati v prosti pretok osebnih podatkov v EU 16 .
V nekaterih primerih so države članice poleg Uredbe uvedle nacionalne zahteve, zlasti s številnimi sektorskimi zakoni, kar povzroča razdrobljenost in nepotrebna bremena. Primer dodatne zahteve, ki so jo poleg Uredbe uvedle države članice, je obveznost iz nemške zakonodaje, da se imenuje pooblaščena oseba za varstvo podatkov v podjetjih z 20 ali več zaposlenimi, ki so stalno vključeni v avtomatizirano obdelavo osebnih podatkov.
Nadaljnja prizadevanja za večjo usklajenost
Komisija se udeležuje dvostranskih dialogov z nacionalnimi organi, v okviru katerih namenja posebno pozornost nacionalnim ukrepom v zvezi z:
·dejansko neodvisnostjo organov za varstvo podatkov, vključno z ustreznimi finančnimi, človeškimi in tehničnimi viri;
·tem, kako zakoni na nacionalni ravni omejujejo pravice posameznikov, na katere se nanašajo osebni podatki;
·dejstvom, da nacionalna zakonodaja ne bi smela uvajati zahtev, ki presegajo Uredbo, kadar niso predvidene druge specifikacije, kot so dodatni pogoji za obdelavo;
·izpolnitvijo obveznosti uskladitve pravice do varstva osebnih podatkov s svobodo izražanja in obveščanja, pri čemer je treba upoštevati, da se ta obveznost ne sme zlorabiti za zastraševanje novinarjev.
Delo organov za varstvo podatkov, ki sodelujejo v okviru Evropskega odbora za varstvo podatkov (v nadaljnjem besedilu: odbor), je ključno gonilo za dosledno uporabo novih pravil, saj izvršilni ukrepi, ki vplivajo na več držav članic, potekajo v okviru mehanizma za sodelovanje in skladnost 17 znotraj odbora, smernice, ki jih sprejme odbor, pa prispevajo k harmoniziranemu razumevanju Uredbe. Kljub temu pa deležniki pričakujejo, da bodo organi za varstvo podatkov na tem področju posegli dlje.
Delo nacionalnih sodišč in Sodišča Evropske unije tudi prispeva k dosledni razlagi pravil o varstvu podatkov. Nacionalna sodišča so pred kratkim izdala sodbe, s katerimi se razveljavijo določbe v nacionalnih zakonih, ki odstopajo od Uredbe 18 .
III.Novi sistem upravljanja postaja vedno bolj izoblikovan
Z Uredbo je bila vzpostavljena nova struktura upravljanja, ki je v središče postavila neodvisne nacionalne organe za varstvo podatkov, ki izvršujejo Uredbo in so prva kontaktna točka za deležnike. Čeprav je večina organov za varstvo podatkov v preteklem letu prejela več sredstev, so med državami članicami še vedno velike razlike 19 .
Organi za varstvo podatkov uporabljajo svoja nova pooblastila
Uredba je organom za varstvo podatkov dodelila večja izvršilna pooblastila. Nacionalni organi za varstvo podatkov so kljub pomislekom nekaterih deležnikov pred majem 2018 sprejeli uravnotežen pristop v zvezi z izvršilnimi pooblastili. Osredotočili so se na dialog in ne na sankcije, zlasti z najmanjšimi subjekti, katerih osnovna dejavnost ni obdelava osebnih podatkov. Poleg tega so učinkovito uporabili svoje nove pristojnosti, ko je bilo to potrebno, vključno z uvedbo preiskav na področju družbenih medijev 20 in naložitvijo upravnih glob v razponu od nekaj tisoč evrov do več milijonov evrov, odvisno od resnosti kršitev pravil o varstvu podatkov.
Primeri glob, ki so jih naložili organi za varstvo podatkov 21 :
·5 000 EUR za kavarno s športnimi stavami v Avstriji, za nezakonit video nadzor;
·220 000 EUR za podjetje za posredovanje podatkov na Poljskem, ker ni obvestilo posameznikov, da se njihovi podatki obdelujejo;
·250 000 EUR je bilo naloženo španski nogometni ligi LaLiga zaradi pomanjkanja preglednosti pri načrtovanju aplikacije za pametne telefone;
·50 milijonov EUR za Google v Franciji zaradi pogojev za pridobitev soglasja uporabnikov.
Pri preiskovanju je bistvenega pomena, da organi za varstvo podatkov zberejo ustrezne dokaze, spoštujejo vse postopkovne korake v skladu z nacionalno zakonodajo in zagotovijo ustrezen postopek v pogosto zapletenih zadevah. Za to sta potrebna čas in ogromno dela, kar pojasnjuje, zakaj je večina preiskav, začetih po začetku uporabe Uredbe, še vedno v teku.
Tako se uspešnost Uredbe ne bi smela meriti s številom naloženih glob, temveč s spremembami v kulturi in vedenju vseh udeležencev. V zvezi s tem imajo organi za varstvo podatkov na voljo druga orodja, kot je uvedba začasne ali dokončne omejitve obdelave, vključno s prepovedjo ali odreditvijo začasnega preklica pretoka podatkov prejemniku v tretji državi 22 .
Nekateri organi za varstvo podatkov so vzpostavili nova orodja, kot so telefonske številke za pomoč in nabor orodij za podjetja, medtem ko so drugi razvili nove pristope, kot so regulativni peskovniki 23 za pomoč podjetjem pri njihovih prizadevanjih za skladnost. Vendar številni deležniki še vedno menijo, da zlasti mala in srednje velika podjetja 24 v nekaterih državah članicah niso prejela dovolj podpore in informacij. Komisija v pomoč pri reševanju tega položaja organom za varstvo podatkov omogoča, da stopijo v stik z deležniki, zlasti posamezniki ter malimi in srednjimi podjetji 25 .
Evropski odbor za varstvo podatkov je operativen
Organi za varstvo podatkov so okrepili delo v Evropskem odboru za varstvo podatkov 26 . To intenzivno delo je odboru omogočilo sprejetje približno 20 smernic o ključnih vidikih Uredbe 27 . Prihodnja področja dela odbora so predstavljena v dvoletnem programu 28 , kot zahteva Uredba.
V čezmejnih zadevah vsak organ za varstvo podatkov ni več zgolj nacionalni organ, temveč je del pravega vseevropskega postopka z vsemi fazami, od preiskave do odločitve. Takšno tesno sodelovanje je postalo vsakodnevna praksa: do konca junija 2019 je bilo s pomočjo mehanizma sodelovanja obravnavanih 516 čezmejnih zadev.
Komisija dejavno prispeva k delu odbora 29 ter spodbuja črko in duha Uredbe ter opozarja na splošna načela prava EU 30 .
Oblikovanje kulture varstva podatkov v EU
Novi sistem upravljanja še vedno ni v celoti izkoristil svojega potenciala. Pomembno je, da odbor še poenostavi postopek odločanja in razvije skupno kulturo varstva podatkov EU med svojimi člani. Možnosti organov za varstvo podatkov, da združijo svoja prizadevanja 31 v zvezi z vprašanji, ki zadevajo več kot eno državo članico, na primer za izvajanje skupnih preiskav in izvršilnih ukrepov, lahko prispevajo k takemu cilju, hkrati pa blažijo učinek omejenih virov.
Številni deležniki želijo tesnejše sodelovanje z nacionalnimi organi za varstvo podatkov 32 in enoten pristop z njihove strani. Od organov za varstvo podatkov 33 zahtevajo tudi večjo doslednost pri svetovanju in popolno uskladitev nacionalnih smernic z navodili odbora. Nekateri deležniki pričakujejo tudi nadaljnje pojasnitve ključnih konceptov Uredbe, kot je pristop na podlagi tveganja, pri katerem je treba upoštevati pomisleke zlasti malih in srednjih podjetij.
V tem okviru je bistvenega pomena, da se lahko deležniki bolje vključijo v delo odbora. Zato Komisija podpira sistematično javno posvetovanje, ki ga je v zvezi s smernicami organiziral odbor. To prakso, skupaj z organizacijo delavnic z deležniki o ciljno usmerjenih temah v zgodnji fazi razmisleka, bi bilo treba nadaljevati in dopolniti, da se zagotovi preglednost, vključenost in ustreznost dela odbora.
IV.Posamezniki uveljavljajo svoje pravice, vendar bi se moralo ozaveščanje nadaljevati
Še en ključni cilj uredbe je bil okrepiti pravice posameznikov. Združenja za civilne pravice in organizacije potrošnikov na splošno menijo, da pomeni Uredba pomemben prispevek k pravični digitalni družbi, ki temelji na medsebojnem zaupanju.
Večja ozaveščenost o pravicah glede varstva podatkov.
Posamezniki v EU se vedno bolj zavedajo pravil o varstvu podatkov in svojih pravic: 67 % vprašanih, ki so sodelovali v raziskavi Eurobarometer 34 iz maja 2019, je seznanjenih s to uredbo, 57 % pa jih je vedelo, da obstaja nacionalni organ za varstvo podatkov, na katerega se lahko obrnejo za informacije ali pri njem vložijo pritožbe. 73 % jih je slišalo za vsaj eno od pravic, ki jih podeljuje Uredba. Vendar pa zelo veliko posameznikov v EU še vedno ne ukrepa aktivno, da bi zaščitili svoje osebne podatke na spletu. 44 % posameznikov na primer ni spremenilo privzetih nastavitev zasebnosti na družbenih omrežjih.
Posamezniki vse pogosteje uveljavljajo svoje pravice
To povečanje ozaveščenosti o pravicah je posameznike spodbudilo, da intenzivneje uveljavljajo svoje pravice z uporabo vprašalnikov za potrošnike in s stikom z organi za varstvo podatkov z namenom zaprositi za informacije ali vložiti pritožbo 35 . Tudi podjetja poročajo, da se je število zahtev za dostop do osebnih podatkov povečalo v več sektorjih, na primer v bančništvu in telekomunikacijah. Posamezniki so tudi pogosteje umaknili svojo privolitev in uveljavljali svojo pravico do ugovora na komercialna sporočila 36 .
Kljub temu so nekateri gospodarski subjekti poročali o napakah posameznikov glede razumevanja pravil o varstvu podatkov, kot je prepričanje, da bi morali posamezniki privoliti v vsako obdelavo ali da je pravica do izbrisa absolutna (subjekti morajo včasih hraniti osebne podatke zaradi pravnih obveznosti) 37 . Organizacije civilne družbe pa se pritožujejo zaradi velikih zamud nekaterih podjetij in organov za varstvo podatkov pri odgovarjanju na vprašanja.
Pomembno je, da so nevladne organizacije po pooblastilu posameznikov sprožile več zastopniških tožb in pri tem uporabile novo možnost iz Uredbe 38 . Uporaba zastopniških tožb bi bila lažja, če bi več držav članic uporabilo možnost iz Uredbe, da se nevladnim organizacijam omogoči izvajanje ukrepov brez pooblastila 39 .
Potreba po nadaljevanju prizadevanj za ozaveščanje
Zato je treba prizadevanja za dialog in ozaveščanje, ki se osredotočajo na splošno javnost, nadaljevati na nacionalni ravni in na ravni EU. V ta namen je Komisija julija 2019 40 začela izvajati novo spletno kampanjo, da bi posameznike spodbudila k branju izjav o varstvu osebnih podatkov in izboljšanju njihovih nastavitev zasebnosti.
V.Podjetja prilagajajo svoje prakse
Namen Uredbe je podpreti podjetja v digitalnem gospodarstvu z rešitvami, ki bodo primerne tudi v prihodnosti. Podjetja so na splošno zadovoljna z načelom odgovornosti v Uredbi, ki odpravlja prejšnji obremenjujoči predhodni pristop (odprava zahtev glede obveščanja, nadgradljivost obveznosti in prožnost načela vgrajenega in privzetega varstva podatkov, ki omogoča konkurenco na podlagi rešitev, ki varujejo zasebnost). Hkrati nekatera podjetja od organov za varstvo podatkov zahtevajo večjo pravno varnost in dodatne ali jasnejše smernice 41 .
Dobro upravljanje podatkov
Čeprav podjetja poročajo o številnih izzivih pri prilagajanju novim pravilom 42 , pa mnoga druga poudarjajo, da je bila to tudi priložnost, da so na vprašanje varstva podatkov opozorila odbore podjetij, uredila svoje poslovanje v zvezi s podatki, s katerimi razpolagajo, izboljšala varnost, se bolje pripravila na incidente, zmanjšala izpostavljenost nepotrebnim tveganjem ter vzpostavila večje zaupanje s strankami in trgovinskimi partnerji. Kar zadeva preglednost, podjetja in organizacije civilne družbe omenjajo občutljivo ravnovesje, ki ga je treba doseči med zagotavljanjem vseh potrebnih informacij posameznikom v skladu z Uredbo ter uporabo jasnega in preprostega jezika, v obliki, ki je posameznikom razumljiva. Gospodarski subjekti razvijajo inovativne rešitve v tej smeri.
Na splošno so podjetja navedla, da so lahko uresničila nove pravice posameznikov, na katere se nanašajo osebni podatki, čeprav so včasih težko izpolnila roke zaradi povečanega števila zahtev in njihovega širšega značaja 43 ali zaradi preverjanja identitete osebe, ki je vložila zahtevo.
Vpliv na inovacije
Uredba ne le dopušča, temveč spodbuja razvoj novih tehnologij, hkrati pa spoštuje temeljno pravico do varstva osebnih podatkov. To velja za področja, kot je na primer umetna inteligenca.
Podjetja so začela pripravljati svojo ponudbo novih storitev, ki bodo varovale zasebnost. Na primer iskalniki, ki ne sledijo uporabnikom ali ki ne uporabljajo vedenjskega oglaševanja, v nekaterih državah članicah postopoma pridobivajo tržne deleže. Druga podjetja razvijajo storitve, ki temeljijo na novih pravicah, podeljenih posameznikom, kot je na primer prenosljivost njihovih osebnih podatkov. Vedno večje število podjetij spodbuja spoštovanje osebnih podatkov kot konkurenčno prednost in prodajno točko. Ta razvoj ni omejen le na EU, temveč se nanaša tudi na zelo inovativna tuja gospodarstva 44 .
Poseben položaj mikropodjetij in malih podjetij z „nizkim tveganjem“
Čeprav se razmere med državami članicami razlikujejo, imajo deležniki največ vprašanj o uporabi Uredbe v zvezi z mikropodjetji in malimi podjetji 45 , pri katerih obdelava podatkov ni osnovna poslovna dejavnost. Čeprav se zdi, da so ta vprašanja delno posledica pomanjkanja ozaveščenosti o pravilih o varstvu podatkov, se njihovi pomisleki včasih še stopnjujejo s kampanjami svetovalnih podjetij, ki zagotavljajo plačljive nasvete, širjenjem napačnih informacij, na primer o potrebi po sistematičnem pridobivanju soglasja posameznikov 46 , in dodatnimi zahtevami na nacionalni ravni.
V zvezi s tem mikropodjetja in mala podjetja zahtevajo smernice, ki bi bile prilagojene njihovim posebnim položajem in bi zagotavljale zelo praktične informacije. Nekateri organi za varstvo podatkov so to že storili na nacionalni ravni 47 . Da bi dopolnila nacionalne pobude, je Komisija izdala informativno gradivo, ki je s prikazom niza praktičnih korakov tem podjetjem v pomoč pri izpolnjevanju novih pravil 48 .
Uporaba zbirke orodij v okviru Uredbe
Uredba določa orodja za dokazovanje skladnosti, kot so standardne pogodbene klavzule, kodeksi ravnanja in novi mehanizmi certificiranja.
Standardne pogodbene klavzule so vzorčne klavzule, ki jih je mogoče prostovoljno vključiti v pogodbo med na primer upravljavcem podatkov in obdelovalcem podatkov in ki določajo obveznosti pogodbenih strank v skladu z Uredbo. Uredba razširja možnosti uporabe standardnih pogodbenih klavzul za mednarodne prenose in znotraj EU 49 . Na področju mednarodnih prenosov njihova široka uporaba izkazuje 50 , da so zelo koristna za podjetja pri njihovih prizadevanjih za doseganje skladnosti in da koristijo zlasti podjetjem, ki nimajo sredstev, da bi se o posameznih pogodbah pogajala z vsakim izvajalcem obdelave podatkov.
Številni sektorji prav tako menijo, da je sprejetje standardnih pogodbenih klavzul koristen način za spodbujanje usklajevanja, zlasti kadar jih sprejme Komisija. Komisija bo sodelovala z deležniki, da bi izkoristila možnosti, ki jih ponuja Uredba, in posodobila obstoječe klavzule.
Spoštovanje kodeksov ravnanja je še eno operativno in praktično orodje, ki je industriji na voljo za lažje dokazovanje skladnosti z Uredbo 51 . Te kodekse bi morala oblikovati trgovinska združenja ali organi, ki zastopajo kategorije upravljavcev in obdelovalcev, opisovati pa bi morali, kako se lahko pravila o varstvu podatkov izvajajo v določenem sektorju. Ker obveznosti umerjajo s tveganji 52 , so ti kodeksi lahko zelo koristni in stroškovno učinkoviti tudi za mala in srednje velika podjetja pri izpolnjevanju obveznosti.
Tudi certificiranje je lahko uporaben instrument za dokazovanje skladnosti s posebnimi zahtevami iz Uredbe. To lahko poveča pravno varnost za podjetja in Uredbo promovira na svetovni ravni. Smernice za certificiranje in akreditacijo 53 , ki jih je nedavno sprejel Evropski odbor za varstvo podatkov, bodo omogočile razvoj sistemov certificiranja v EU. Komisija bo spremljala ta razvoj in po potrebi uporabila pooblastilo iz Uredbe za opredelitev zahtev za certificiranje. Komisija lahko organom EU za standardizacijo izda tudi zahtevo za standardizacijo v zvezi z elementi, ki so pomembni za Uredbo.
VI.Navzgor usmerjena konvergenca napreduje na mednarodni ravni
Zahteva po varstvu osebnih podatkov ni omejena na EU. Kot kaže nedavna svetovna raziskava o varnosti na internetu, se po svetu širi pomanjkanje zaupanja, zaradi česar ljudje spreminjajo način vedenja na spletu 54 . Vse več podjetij te pomisleke obravnava tako, da pravice, ki jih podeljuje Uredba, prostovoljno razširja na svoje stranke zunaj EU.
Ker se države po svetu vse bolj spopadajo s podobnimi izzivi, sprejemajo nova pravila o varstvu podatkov ali posodabljajo že obstoječa. Ti zakoni imajo pogosto veliko značilnosti, ki so skupne z ureditvijo EU za varstvo podatkov, npr. krovna zakonodaja namesto sektorskih pravil, izvršljive individualne pravice in neodvisen nadzorni organ. Ta trend je resnično globalen in sega od Južne Koreje do Brazilije, od Čila do Tajske ter od Indije do Indonezije. Vse bolj splošno sodelovanje v „Konvenciji št. 108“ Sveta Evrope 55 – nedavno posodobljeni 56 z znatnim prispevkom Komisije – je še en jasen znak tega trenda navzgor usmerjene konvergence.
Spodbujanje varnega in prostega pretoka podatkov s sklepi o ustreznosti in drugače
Ta razvoj konvergence ponuja nove priložnosti za olajšanje pretoka podatkov in s tem trgovine ter sodelovanja med javnimi organi, hkrati pa izboljšuje raven varstva podatkov posameznikov v EU, ko se ti prenašajo v tujino.
Komisija je v okviru izvajanja strategije iz sporočila o izmenjavi in varovanju osebnih podatkov v globaliziranem svetu iz leta 2017 57 okrepila sodelovanje s tretjimi državami in drugimi mednarodnimi partnerji pri nadgrajevanju in nadaljnjem razvoju elementov konvergence med sistemi varstva zasebnosti. To je vključevalo preučitev možnosti sprejetja ugotovitev o ustreznosti z izbranimi tretjimi državami 58 . Ta prizadevanja so prinesla pomembne rezultate, zlasti z začetkom veljavnosti sporazuma o vzajemni ustreznosti EU-Japonska, ki je začel veljati februarja 2019 in ki je ustvaril največje območje prostega in varnega pretoka podatkov na svetu. Pogajanja o ustreznosti z Južno Korejo so v napredni fazi, trenutno pa poteka raziskovalno delo, da bi se začela pogajanja o ustreznosti z več latinskoameriškimi državami, kot sta Čile in Brazilija, odvisno zaključka tekočih zakonodajnih postopkov. Razvoj dogodkov je obetaven tudi v nekaterih delih Azije, kot so Indija, Indonezija in Tajvan, pa tudi v evropskem vzhodnem in južnem sosedstvu, kar bi lahko odprlo vrata prihodnjim sklepom o ustreznosti.
Hkrati se Komisija veseli dejstva, da so druge države, ki so vzpostavile instrumente prenosa, podobne ustreznosti iz Uredbe, priznale, da EU in države, ki jih EU priznava kot „ustrezne“, zagotavljajo zahtevano raven zaščite 59 . S tem bi lahko ustvarili mrežo držav, v katerih bi se podatki lahko prosto pretakali.
Poleg tega poteka intenzivno delo z drugimi tretjimi državami, kot so Kanada, Nova Zelandija, Argentina in Izrael, da se v okviru Uredbe zagotovi kontinuiteta o sklepih o ustreznosti, sprejetih na podlagi direktive o varstvu podatkov iz leta 1995. Izkazalo se je tudi, da je zasebnostni ščit EU-ZDA koristno orodje za zagotavljanje čezatlantskega pretoka podatkov na podlagi visoke ravni zaščite podatkov ob sodelovanju več kot 4 700 podjetij 60 . Njegov letni pregled zagotavlja redno preverjanje pravilnega delovanja okvira in pravočasno reševanje novih vprašanj.
Ker ni enotne rešitve za prenos podatkov, Komisija sodeluje tudi z deležniki in odborom, da se izkoristi celoten potencial nabora orodij Uredbe za mednarodni prenos podatkov. To zadeva instrumente, kot so standardne pogodbene klavzule, razvoj sistemov certificiranja, kodeksi ravnanja ali upravni dogovori za javne organe. V zvezi s tem se Komisija zanima za izmenjavo izkušenj in dobrih praks z drugimi sistemi, ki so pridobili posebno strokovno znanje o nekaterih od teh orodij. Komisija bo razmislila o uporabi pooblastil, dodeljenih na podlagi Uredbe, v zvezi z navedenimi orodji za prenos, zlasti v zvezi s standardnimi pogodbenimi klavzulami.
Poleg zgolj dvostranskih orodij bi bilo smiselno preučiti tudi, ali bi lahko podobno misleče države v času, ko postajajo podatkovni tokovi vse pomembnejši sestavni del trgovine, komunikacij in družbenih interakcij, vzpostavile večnacionalni okvir na tem področju. Tak instrument bi omogočil prosti pretok podatkov med pogodbenicami, hkrati pa bi zagotavljal zahtevano raven varstva na podlagi skupnih vrednot in konvergenčnih sistemov. Razvijal bi se lahko na primer na podlagi posodobljene Konvencije št. 108 ali na podlagi pobude „prosti pretok podatkov z zaupanjem“, ki jo je na začetku tega leta sprožila Japonska.
Razvoj novih sinergij med trgovinskimi instrumenti in instrumenti za varstvo podatkov
Komisija je za spodbujanje konvergence standardov za varstvo podatkov na mednarodni ravni tudi odločena, da se bo spopadla z digitalnim protekcionizmom. V ta namen je pripravila posebne določbe o pretoku podatkov in varstvu podatkov v trgovinskih sporazumih, ki jih sistematično predlaga v dvostranskih in večstranskih pogajanjih, kot so sedanje razprave STO o e-trgovanju. Te horizontalne določbe prepovedujejo izključno protekcionistične ukrepe, kot so zahteve za prisilno lokalizacijo podatkov, hkrati pa ohranjajo regulativno avtonomijo pogodbenic, da zaščitijo temeljne pravice do varstva podatkov.
Čeprav morajo dialogi o varstvu podatkov in trgovinskih pogajanjih potekati ločeno, se lahko medsebojno dopolnjujejo: sporazum o vzajemni ustreznosti med EU in Japonsko je najboljši primer takih sinergij, ki dodatno olajšujejo komercialne izmenjave in tako povečujejo koristi Sporazuma o gospodarskem partnerstvu z Japonsko. Dejansko ta vrsta konvergence, ki temelji na skupnih vrednotah in visokih standardih, podpira pa jo učinkovito izvrševanje, zagotavlja najmočnejše temelje za izmenjavo osebnih podatkov, kar vedno bolj priznavajo naši mednarodni partnerji 61 . Glede na to, da podjetja vse pogosteje delujejo čezmejno in dajejo prednost podobnim pravilom pri vseh svojih poslovnih dejavnostih po vsem svetu, taka konvergenca prispeva k ustvarjanju okolja, ki spodbuja neposredne naložbe, olajšuje trgovino in izboljšuje zaupanje med trgovinskimi partnerji.
Olajševanje izmenjave informacij za boj proti kriminalu in terorizmu na podlagi ustreznih zaščitnih ukrepov
Večja združljivost med ureditvami za varstvo podatkov lahko tudi bistveno olajša nujno potrebne izmenjave informacij med organi EU ter tujimi regulativnimi, policijskimi in pravosodnimi organi ter na ta način prispeva k učinkovitejšemu in hitremu sodelovanju na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj 62 . Zato namerava Komisija za poglobitev sodelovanja s ključnimi partnerji v boju proti kriminalu in terorizmu uporabiti možnost sprejetja sklepov o ustreznosti v skladu z direktivo o varstvu podatkov pri preprečevanju, odkrivanju in preiskovanju kaznivih dejanj. Poleg tega se lahko krovni sporazum med EU in ZDA 63 , ki je začel veljati februarja 2017, uporabi kot model za podobne sporazume z drugimi pomembnimi partnerji na področju varnosti.
Druga primera, ki kažeta na pomen visokih standardov varstva podatkov kot podlage za stabilno sodelovanje s tretjimi državami na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, sta prenos evidenc podatkov o potnikih (PNR) 64 in izmenjava operativnih informacij med Europolom in pomembnimi mednarodnimi partnerji. V zvezi s tem so trenutno v teku ali tik pred začetkom pogajanja o mednarodnih sporazumih z več državami južnega sosedstva 65 .
Trdni zaščitni ukrepi za varstvo podatkov bodo prav tako bistven element vsakega prihodnjega sporazuma o čezmejnem dostopu do elektronskih dokazov v kazenskih preiskavah, tako na dvostranski ravni (Sporazum EU-ZDA) kot na večstranski ravni (Drugi dodatni protokol h Konvenciji Sveta Evrope o kibernetski kriminaliteti (Budimpeški konvenciji)) 66 .
Spodbujanje sodelovanja med nadzornimi organi, pristojnimi za varstvo podatkov
V času, ko lahko vprašanja v zvezi s spoštovanjem zasebnosti ali incidenti v zvezi z varnostjo vplivajo hkrati na veliko število posameznikov v več jurisdikcijah, lahko tesnejše sodelovanje med nadzornimi organi na mednarodni ravni prispeva k učinkovitejšemu varstvu pravic posameznikov in stabilnejšemu okolju za nosilce dejavnosti. Komisija si bo v tem okviru in v tesnem stiku z odborom prizadevala za lajšanje sodelovanja pri izvrševanju in medsebojne pomoči med EU in tujimi nadzornimi organi, vključno z uporabo novih pristojnosti, ki jih na tem področju zagotavlja Uredba 67 . To bi lahko zajemalo različne oblike sodelovanja pri oblikovanju skupnih razlagalnih ali praktičnih orodij 68 za izmenjavo informacij o tekočih preiskavah.
Komisija namerava okrepiti tudi dialog z regionalnimi organizacijami in mrežami, kot so Združenje držav jugovzhodne Azije (ASEAN), Afriška unija, forum organov Azijsko-pacifiške skupine za varstvo zasebnosti (APPA) ali Iberoameriška mreža za varstvo podatkov, ki imajo vse pomembnejšo vlogo pri oblikovanju skupnih standardov varstva podatkov, spodbujanju izmenjave dobrih praks in spodbujanju sodelovanja med nadzornimi organi. Sodelovala bo tudi z Organizacijo za gospodarsko sodelovanje in razvoj ter Organizacijo za gospodarsko sodelovanje v Azijsko-pacifiški regiji, da bi se dosegla konvergenca in s tem visoka raven varstva podatkov.
VII.Zakonodaja o varstvu podatkov je sestavni del številnih politik
Varstvo osebnih podatkov je zagotovljeno in vključeno v več politik Unije.
Telekomunikacijske in elektronske komunikacijske storitve
Komisija je januarja 2017 sprejela predlog uredbe o zasebnosti in elektronskih komunikacijah 69 . Namen predloga je zaščititi zaupnost komunikacij, kot je določeno v Listini o temeljnih pravicah, pa tudi varovati osebne podatke, ki so lahko del komunikacijske in terminalske opreme končnih uporabnikov.
Predlagana uredba o zasebnosti in elektronskih komunikacijah podrobno opredeljuje in dopolnjuje Uredbo, saj določa posebna pravila za navedene namene. Posodablja sedanja pravila EU o zasebnosti in elektronskih komunikacijah 70 , ki odražajo tehnološki in pravni razvoj. Povečuje zasebnost posameznikov z razširitvijo področja uporabe novih pravil tudi na ponudnike povrhnjih komunikacijskih storitev (OTT) in tako ustvarja enake pogoje za vse elektronske komunikacijske storitve. Čeprav je Evropski parlament oktobra 2017 sprejel mandat za začetek trialogov, Svet še ni sprejel splošnega pristopa. Komisija ostaja v celoti zavezana uredbi o zasebnosti in elektronskih komunikacijah in bo sozakonodajalca podprla pri njunih prizadevanjih za hitro sprejetje predlagane uredbe.
Zdravstvo in raziskave
Lajšanje izmenjave zdravstvenih podatkov, ki so na podlagi Uredbe občutljivi podatki, med državami članicami postaja vse pomembnejše na področju javnega zdravja iz razlogov splošnega interesa. Ti razlogi vključujejo zagotavljanje zdravstvenega varstva ali zdravljenje, zaščito pred resno čezmejno ogroženostjo zdravja ter zagotavljanje visokih standardov kakovosti in varnosti zdravstvenega varstva ter zdravil ali medicinskih pripomočkov. Uredba določa pravila, ki zagotavljajo zakonito in zanesljivo obdelavo ter izmenjavo zdravstvenih podatkov po EU. Ta pravila se uporabljajo tudi za dostop tretjih oseb do zdravstvenih podatkov bolnikov, vključno do podatkov v povzetkih o bolnikih, e-receptov, dolgoročno pa tudi obsežnih elektronskih zdravstvenih kartotek, ter za njihovo uporabo za namene znanstvenih raziskav. Za posebno področje kliničnih preskušanj je Komisija pripravila tudi posebna vprašanja in odgovore v zvezi z medsebojnim vplivanjem med uredbo o kliničnem preskušanju 71 in Splošno uredbo o varstvu podatkov 72 .
Umetna inteligenca
Ker umetna inteligenca pridobiva strateški pomen, je bistveno oblikovati globalna pravila za njen razvoj in uporabo. Komisija se je pri spodbujanju razvoja in uporabe umetne inteligence odločila za pristop, osredotočen na človeka, kar pomeni, da morajo biti aplikacije umetne inteligence v skladu s temeljnimi pravicami 73 . V zvezi s tem pravila, določena v Uredbi, zagotavljajo splošen okvir in vsebujejo posebne obveznosti in pravice, ki so še posebej pomembne za obdelavo osebnih podatkov na področju umetne inteligence. Uredba na primer vključuje pravico ne biti izpostavljen zgolj avtomatiziranemu odločanju, razen v nekaterih primerih 74 . Vključuje tudi posebne zahteve glede preglednosti pri uporabi avtomatiziranega odločanja, in sicer obveznost obveščanja o obstoju takih odločitev ter zagotavljanje smiselnih informacij in pojasnitev njihovega pomena ter predvidenih posledic obdelave za posameznika 75 . Ta temeljna načela Uredbe so kot posebej pomembna za obravnavanje izzivov in priložnosti, ki jih prinaša umetna inteligenca, priznali strokovna skupina na visoki ravni za umetno inteligenco 76 , Organizacija za gospodarsko sodelovanje in razvoj 77 ter skupina G20 78 . Evropski odbor za varstvo podatkov je umetno inteligenco opredelil kot eno od možnih tem v delovnem programu za obdobje 2019–2020 79 .
Promet
Razvoj povezanih avtomobilov in pametnih mest je vedno bolj odvisen od obdelave in izmenjave velikih količin osebnih podatkov med več stranmi, vključno z avtomobili, proizvajalci avtomobilov, ponudniki telematskih storitev in javnimi organi, zadolženimi za cestno infrastrukturo. To večstransko okolje pomeni določeno kompleksnost pri dodeljevanju vlog in odgovornosti različnih udeležencev, ki sodelujejo pri obdelavi osebnih podatkov, ter pri tem, kako zagotoviti zakonitost obdelave s strani vseh udeležencev. Skladnost z Uredbo o zasebnosti in elektronskih komunikacijah ter zadevno zakonodajo je bistvenega pomena za uspešno uvajanje inteligentnih prometnih sistemov v vseh načinih prevoza in širjenje digitalnih orodij in storitev, ki omogočajo večjo mobilnost posameznikov in blaga 80 .
Energija
Razvoj digitalnih rešitev v energetskem sektorju se vedno bolj zanaša na obdelavo osebnih podatkov. Zakonodaja, sprejeta kot del svežnja Čista energija za vse Evropejce 81 , vsebuje nove določbe, ki omogočajo digitalizacijo sektorja električne energije, ter pravila o dostopu do podatkov, upravljanju podatkov in interoperabilnosti, ki omogočajo obdelavo podatkov potrošnikov v realnem času, da se doseže gospodarnost ter spodbudi lastna proizvodnja in udeležba na trgu energije. Zato je spoštovanje pravil o varstvu podatkov zelo pomembno za uspešno izvajanje teh določb.
Konkurenca
Obdelava osebnih podatkov je element, ki ga je treba vedno bolj upoštevati v politiki konkurence 82 . Glede na to, da so organi za varstvo podatkov edini pristojni organi, ki ocenjujejo kršitev pravil o varstvu podatkov, organi za varstvo konkurence, potrošnikov in varstvo podatkov sodelujejo in bodo po potrebi še naprej sodelovali na področjih, na katerih se njihove pristojnosti prekrivajo. Komisija bo spodbujala tako sodelovanje in pozorno spremljala razvoj dogodkov.
Volilni kontekst
V svojih smernicah o uporabi osebnih podatkov v volilnem kontekstu 83 , ki so bile izdane septembra 2018 kot del volilnega svežnja 84 , je Komisija opozorila na pravila, ki so posebej pomembna za udeležence volitev, vključno z vprašanji, povezanimi z izjemno natančnim ciljnim usmerjanjem na volivce. Te smernice so bile povzete v izjavi Evropskega odbora za varstvo podatkov 85 , številni organi za varstvo podatkov pa so izdali smernice na nacionalni ravni. V okviru volilnega svežnja je bila vsaka država članica tudi pozvana, naj vzpostavi nacionalno volilno mrežo, ki bo vključevala nacionalne organe, pristojne za volilne zadeve, in organe, pristojne za spremljanje in uveljavljanje pravil (npr. varstvo podatkov) v zvezi s spletnimi dejavnostmi, povezanimi z volitvami. Sprejeti so bili tudi novi ukrepi za uvedbo sankcij za kršitve pravil o varstvu podatkov s strani evropskih političnih strank in fundacij. Komisija je priporočila, naj države članice uporabijo enak pristop na nacionalni ravni. Ocena volitev v Evropski parlament leta 2019, ki naj bi bila izdana oktobra 2019, bo upoštevala tudi vidike varstva podatkov.
Preprečevanje, odkrivanje in preiskovanje kaznivih dejanj
Učinkovita in prava varnostna unija lahko temelji le na popolnem spoštovanju temeljnih pravic iz Listine EU in sekundarne zakonodaje EU, vključno z ustreznimi zaščitnimi ukrepi za varstvo podatkov, ki omogočajo varno izmenjavo osebnih podatkov za namene preprečevanja, odkrivanja in preiskovanja kaznivih dejanj. Za vse omejitve temeljne pravice do zasebnosti in varstva podatkov veljata strog preizkus nujnosti in sorazmernosti.
VIII.Zaključek
Komisija na podlagi trenutnih razpoložljivih informacij in dialoga z deležniki predhodno ocenjuje, da je bilo prvo leto uporabe uredbe na splošno pozitivno. Kot je razvidno iz tega sporočila, je na številnih področjih potreben nadaljnji napredek.
Izvajanje in dopolnitev pravnega okvira:
·Tri države članice, ki še niso posodobile svoje nacionalne zakonodaje o varstvu podatkov, morajo to nujno storiti. Vse države članice bi morale dokončati uskladitev svoje sektorske zakonodaje z zahtevami iz Uredbe.
·Komisija bo uporabila vsa orodja, ki jih ima na voljo, vključno s postopki za ugotavljanje kršitev, da bi zagotovila, da države članice spoštujejo obveznosti iz Uredbe, in omejila kakršno koli razdrobljenost okvira za varstvo podatkov.
Izkoriščanje celotnega potenciala novega sistema upravljanja:
·Države članice morajo nacionalnim organom za varstvo podatkov dodeliti zadostne človeške, finančne in tehnične vire.
·Organi za varstvo podatkov bi morali okrepiti sodelovanje, na primer s skupnimi preiskavami. Države članice bi morale olajšati izvajanje takih preiskav.
·Odbor bi moral še naprej razvijati kulturo varstva podatkov v EU in v celoti izkoristiti orodja iz Uredbe, da se zagotovi usklajena uporaba pravil. Še naprej bi moral delati na smernicah, zlasti za mala in srednje velika podjetja.
·Strokovno znanje sekretariata odbora bi bilo treba okrepiti, da bi učinkoviteje podpiral in vodil delo odbora.
·Komisija bo še naprej podpirala organe za varstvo podatkov in odbor, zlasti tako, da bo dejavno sodelovala pri delu odbora in opozarjala na zahteve zakonodaje EU med izvajanjem Uredbe.
·Komisija bo podpirala sodelovanje med organi za varstvo podatkov in drugimi organi, zlasti s področja konkurence, ob polnem spoštovanju njihovih pristojnosti.
Podpiranje in vključevanje deležnikov:
·Odbor bi moral okrepiti način vključevanja deležnikov v svoje delo. Komisija bo še naprej finančno podpirala organe za varstvo podatkov, da bodo lahko prišli v stik deležniki.
·Komisija bo nadaljevala dejavnosti ozaveščanja in sodelovala z deležniki.
Spodbujanje mednarodne konvergence
·Komisija bo še dodatno okrepila dialog o ustreznosti s pripravljenimi ključnimi partnerji, tudi na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj. Zlasti si prizadeva, da bi v prihodnjih mesecih zaključila pogajanja, ki potekajo z Južno Korejo. Leta 2020 bo poročala o pregledu enajstih sklepov o ustreznosti, sprejetih na podlagi direktive o varstvu podatkov.
·Komisija bo nadaljevala svoje delo, tudi prek tehnične pomoči, z izmenjavo informacij in dobrih praks z državami, ki želijo sprejeti sodobne zakone o zasebnosti, ter spodbujala sodelovanje z nadzornimi organi tretjih držav in regionalnimi organizacijami.
·Komisija bo z večstranskimi in regionalnimi organizacijami sodelovala pri spodbujanju visokih standardov varstva podatkov kot spodbujevalca trgovine in sodelovanja (npr. v okviru pobude „prosti pretok podatkov z zaupanjem“, ki jo je začela Japonska v okviru G20).
Uredba 86 določa, da mora Komisija poročati o njenem izvajanju v letu 2020. To bo priložnost, da se oceni doseženi napredek in to, ali so po dveh letih uporabe različni elementi nove ureditve za varstvo podatkov v celoti operativni. V ta namen bo Komisija sodelovala z Evropskim parlamentom, Svetom, državami članicami, Evropskim odborom za varstvo podatkov, ustreznimi deležniki in državljani.