Dixon: GDPR ei lahenda süsteemseid vigu

Kui inimene esitab privaatsuskaebuse Facebooki, Instagrami, WhatsAppi või TikToki kohta, ei jõua see tema oma riigi järelevalvajani. See liigub Dublini. Iirimaa andmekaitsekomisjon menetleb enamikku suuri GDPR-i juhtumeid, mis puudutavad üleilmseid tehnoloogiaettevõtteid. Komisjoni endine juht Helen Dixon ütles sel kuul Law Society üritusel, et GDPR ei ole „alati kasulik süsteemsete probleemide puhul” (Law Society of Ireland).

Selle tunnistuse kaal tuleb Dixoni rollist. Tema juhtis Iirimaa järelevalvet aastatel, mil Dublinist sai Euroopa tehnoloogiahiidude peamine privaatsuskohtunik.

Kuidas ühest linnast sai Euroopa privaatsuspealinn

GDPR lõi artiklis 56 nn ühe kontaktpunkti mehhanismi (EUR-Lex). Mõte oli praktiline: ettevõte ei pea suhtlema 27 riikliku järelevalveasutusega eraldi. Piiriüleste juhtumite eest vastutab selle riigi asutus, kus asub ettevõtte peamine EL-i kontor. Apple, Google, Meta, TikTok, LinkedIn ja Microsoft on kõik rajanud Euroopa peakontori Iirimaale. Nii sai DPC-st sisuliselt suure osa tehnoloogiasektori Euroopa privaatsusregulaator (anonym.community).

Menetlus käib artikli 60 koostöökorra kaudu. DPC uurib juhtivat järelevalveasutusena kaebust ja koostab otsuse eelnõu. See saadetakse kõigile teistele riiklikele andmekaitseasutustele, keda juhtum puudutab. Neid nimetatakse asjaomasteks järelevalveasutusteks. Kui nad esitavad vastuväiteid, mida nad sageli teevad, liigub vaidlus siduva lahendi saamiseks Euroopa Andmekaitsenõukogusse (EUR-Lex). Praktikas kirjutab Dublin otsuse eelnõu, kuid 26 teisel asutusel on võimalus selle sisule vastu vaielda.

Süsteem pidi vältima olukorda, kus ettevõtted valivad endale kõige leebema järelevalvaja. Tegelikkuses tekkis teine kitsaskoht: üks keskmise suurusega amet hakkas kandma terve kontinendi jõustamiskoormust.

Suured trahvid, aeglane laekumine

DPC on määranud ligikaudu 80% kõigist suurematest EL-i tehnoloogiasektori GDPR-i trahvidest (anonym.community). Suurimad summad on 1,2 mld € Metale Euroopa kasutajaandmete ebaseadusliku USA-sse edastamise eest, 530 mln € TikTokile Euroopa andmetele Hiina inseneride ligipääsu võimaldamise eest ning 310 mln € LinkedInile ebaseadusliku käitumisprofiilide koostamise eest (anonym.legal).

Trahvi määramine ja raha kättesaamine on eri asjad. Ettevõtted vaidlustavad peaaegu kõik suuremad otsused ning Iirimaa kohtud võivad maksmise menetluse ajaks peatada. Välja kuulutatud karistuste ja tegelikult laekunud raha vahe on endiselt suur. Teiste riikide järelevalveasutustel on oma piirangud: artikli 60 koostöökord lubab väiksematel ametitel esitada vastuväiteid, kuid ei luba neil nende ettevõtete piiriülestes juhtumites iseseisvalt tegutseda. Nad saavad jälgida, kuni Dublin otsustab.

Parandus tähtajaga

Uus GDPR-i menetlusmäärus jõustub 2027. aasta aprillis ja seab juhtivatele järelevalveasutustele piiriülestes juhtumites otsuse eelnõu esitamiseks 15-kuulise tähtaja (Netguardia). Praeguses süsteemis on uurimised veninud aastateks. Meta 1,2 mld € trahvini jõudmine võttis esialgsest kaebusest lõpliku otsuseni viis aastat. Reform paneb täpsemad tähtajad ka sellele, millal asjaomased järelevalveasutused peavad vastuväited esitama ja millal vaidlus peab liikuma Euroopa Andmekaitsenõukogusse (Netguardia).

Menetlusparandus tegeleb kiirusega. See ei muuda põhilist asümmeetriat: üks riiklik asutus, mis allub Iirimaa kohtutele ja Iirimaa haldusõigusele, vastutab tehnoloogiaettevõtete üle, kelle teenuseid kasutab 450 miljonit eurooplast. Dixoni tunnistus, et raamistik ei tule hästi toime süsteemsete probleemidega (Law Society of Ireland), osutab kohale, mida 2027. aasta reform ei puuduta. Otsused võivad tulla kiiremini, kuid liiguvad endiselt sama kitsa kanali kaudu. Pikem küsimus on, kas Euroopa hakkab kunagi ümber mõtlema ka kanalit ennast, mitte üksnes selle läbilaskevõimet.