GDPR neįveikia sisteminių technologijų problemų

Kai pateikiamas skundas dėl „Facebook“, „Instagram“, „WhatsApp“ ar „TikTok“ privatumo praktikų, jis paprastai nenukeliauja nacionaliniam reguliuotojui. Jis atsiduria Dubline. Airijos duomenų apsaugos komisija nagrinėja beveik visus svarbiausius Bendrojo duomenų apsaugos reglamento (BDAR) taikymo atvejus didžiosioms technologijų bendrovėms. Buvusi šios institucijos vadovė dabar pripažino, kad tokia sistema ne visada tinka problemoms, kurios svarbiausios. Helen Dikson šį mėnesį Airijos teisininkų draugijos renginyje pareiškė, kad BDAR „ne visada naudingas sisteminiams klausimams“ (Law Society of Ireland).

Tai svarbus pripažinimas iš žmogaus, vadovavusio Airijos priežiūrai aktyviausiu jos laikotarpiu. Jis parodo įtampą, kaupusiąsi per aštuonerius reglamento veikimo metus.

Kaip vienas miestas tapo Europos privatumo sostine

BDAR 56 straipsniu sukurtas vadinamasis vieno langelio mechanizmas (EUR-Lex). Jo logika praktiška: tarptautinei bendrovei nereikia derėtis su 27 atskirais nacionaliniais reguliuotojais, nes tarpvalstybines bylas nagrinėja tos šalies institucija, kurioje bendrovė turi pagrindinę ES buveinę. „Apple“, „Google“, „Meta“, „TikTok“, „LinkedIn“ ir „Microsoft“ savo Europos būstines įkūrė Airijoje. Todėl DPC faktiškai tapo didžiosios technologijų pramonės privatumo reguliuotoja Europoje (anonym.community).

Priežiūros procesas vyksta per BDAR 60 straipsnyje numatytą bendradarbiavimą. DPC, kaip vadovaujančioji priežiūros institucija, tiria skundą ir parengia sprendimo projektą. Jis siunčiamas kitoms nacionalinėms duomenų apsaugos institucijoms, kurioms byla aktuali. Jos vadinamos susijusiomis priežiūros institucijomis. Jei jos prieštarauja, o taip nutinka dažnai, ginčas perduodamas Europos duomenų apsaugos valdybai, priimančiai privalomą sprendimą (EUR-Lex). Paprasčiau tariant, Dublinas parašo nuosprendžio projektą, bet likę 26 teisėjai gali ginčyti bausmės dydį ir pagrindimą.

Ši sistema turėjo užkirsti kelią reguliavimo jurisdikcijų rinkimuisi, kai įmonės ieško palankiausio prižiūrėtojo. Praktikoje atsirado kita problema: viena vidutinio dydžio agentūra tapo viso žemyno vykdymo priežiūros siaurąja vieta.

Didelės baudos, lėtas išieškojimas

DPC skyrė apie 80 % visų didžiųjų ES technologijų sektoriaus baudų pagal BDAR (anonym.community). Didžiausios baudos: 1,2 mlrd. € „Meta“ už neteisėtą Europos naudotojų duomenų perdavimą į Jungtines Valstijas, 530 mln. € „TikTok“ už tai, kad Kinijoje dirbę inžinieriai galėjo pasiekti europiečių duomenis, ir 310 mln. € „LinkedIn“ už neteisėtą elgsenos profiliavimą (anonym.legal).

Baudą paskirti ir ją išieškoti — ne tas pats. Bendrovės beveik kiekvieną didelį sprendimą apskundžia, o Airijos teismai gali sustabdyti mokėjimą, kol vyksta bylinėjimasis. Todėl skirtumas tarp paskelbtų sankcijų ir realiai gautų pinigų išlieka didelis. Kiti nacionaliniai reguliuotojai taip pat apriboti: 60 straipsnio bendradarbiavimo sistema leidžia mažesnėms institucijoms teikti prieštaravimus, bet ne savarankiškai veikti tarpvalstybinėse bylose prieš šias bendroves. Jos stebi, kol sprendžia Dublinas.

Pataisa su terminu

Naujas BDAR procedūrinis reglamentas, įsigaliosiantis 2027 m. balandį, nustatys 15 mėnesių terminą, per kurį vadovaujančiosios institucijos turės pateikti sprendimo projektą tarpvalstybinėse bylose (Netguardia). Dabartinėje sistemoje tyrimai tęsdavosi metų metus. „Meta“ skirta 1,2 mlrd. € bauda nuo pradinio skundo iki galutinio sprendimo užtruko penkerius metus. Reforma taip pat aiškiau apibrėš terminus, per kuriuos susijusios priežiūros institucijos turi pateikti prieštaravimus, ir kada ginčai turi keliauti į Europos duomenų apsaugos valdybą (Netguardia).

Procedūrinė pataisa sprendžia greičio klausimą. Ji nesprendžia pagrindinės asimetrijos: viena nacionalinė institucija, atskaitinga Airijos teismams ir veikianti pagal Airijos administracinę teisę, prisiima reguliacinę atsakomybę už technologijų bendroves, aptarnaujančias 450 mln. europiečių. Dikson pripažinimas, kad dabartinis modelis sunkiai tvarkosi su sisteminiais klausimais (Law Society of Ireland), rodo problemą, kurios 2027 m. reforma nepaliečia. Sprendimai gali tapti greitesni, bet jie vis tiek tekės tuo pačiu siauru kanalu. Ilgesnėje perspektyvoje svarbiausias klausimas — ar Europa ryšis pergalvoti patį kanalą, o ne tik spartinti judėjimą juo.