GDPR nezvláda veľké technologické kauzy

Keď sa sťažujete na ochranu súkromia vo Facebooku, Instagrame, WhatsAppe alebo TikToku, sťažnosť nekončí u vášho národného regulátora. Putuje do Dublinu. Írska Komisia pre ochranu údajov rieši takmer všetky veľké prípady presadzovania GDPR proti globálnym technologickým firmám a jej bývalá šéfka teraz priznala, že pri najdôležitejších problémoch tento systém nefunguje dobre. Helen Dixonová tento mesiac na podujatí Law Society povedala, že GDPR „nie je vždy užitočné pri systémových problémoch” (Law Society of Ireland).

Takéto priznanie má váhu práve preto, že prichádza od človeka, ktorý viedol írsky dohľad v jeho najaktívnejšom období. Ukazuje napätie, ktoré sa v európskom systéme ochrany údajov hromadí už osem rokov.

Ako sa jedno mesto stalo európskym centrom ochrany súkromia

GDPR vytvorilo v článku 56 mechanizmus nazývaný „one-stop-shop”, teda jednotné kontaktné miesto (EUR-Lex). Logika bola praktická: firma nemala riešiť 27 samostatných národných regulátorov, ale cezhraničné prípady mal viesť úrad v krajine, kde má hlavné sídlo v EÚ. Apple, Google, Meta, TikTok, LinkedIn aj Microsoft si európske centrá postavili v Írsku. Z írskej komisie sa tak v praxi stal hlavný európsky regulátor súkromia pre veľkú časť technologického priemyslu (anonym.community).

Presadzovanie pravidiel funguje cez spoluprácu podľa článku 60. Írska komisia ako vedúci dozorný orgán prešetrí sťažnosť a pripraví návrh rozhodnutia. Ten potom pošle ostatným národným úradom, ktorých sa prípad týka, teda dotknutým dozorným orgánom. Ak namietajú, čo sa deje často, spor sa posúva na Európsky výbor pre ochranu údajov, ktorý prijme záväzné rozhodnutie (EUR-Lex). Dublin teda napíše verdikt, ale ďalších 26 úradov môže spochybniť jeho záver.

Systém mal zabrániť tomu, aby si firmy vyberali najmiernejšieho regulátora. V praxi vytvoril iný problém: jedna stredne veľká agentúra sa stala úzkym hrdlom presadzovania pravidiel pre celý kontinent.

Veľké pokuty, pomalé vymáhanie

Írska komisia udelila približne 80 % všetkých veľkých európskych pokút technologickým firmám podľa GDPR (anonym.community). Najväčšie prípady sú známe: 1,2 mld. EUR pre Metu za nezákonné prenosy údajov európskych používateľov do Spojených štátov, 530 mil. EUR pre TikTok za to, že čínski inžinieri mali prístup k európskym dátam, a 310 mil. EUR pre LinkedIn za nezákonné profilovanie správania používateľov (anonym.legal).

Uložiť pokutu a skutočne ju vybrať sú dve rôzne veci. Firmy sa odvolávajú takmer proti každému veľkému rozhodnutiu a írske súdy môžu platbu pozastaviť, kým sa spor neskončí. Rozdiel medzi oznámenými sankciami a peniazmi, ktoré štát reálne dostane, preto zostáva veľký. Ostatní národní regulátori majú vlastné limity: systém spolupráce podľa článku 60 im umožňuje podávať námietky, no pri cezhraničných prípadoch týchto firiem nemôžu konať samostatne. Sledujú proces, kým rozhoduje Dublin.

Oprava s lehotou

Nové procesné nariadenie ku GDPR, ktoré začne platiť v apríli 2027, zavádza pre vedúce dozorné orgány 15-mesačnú lehotu na vydanie návrhu rozhodnutia v cezhraničných prípadoch (Netguardia). Dnes sa vyšetrovania naťahujú roky. Pokuta 1,2 mld. EUR pre Metu trvala päť rokov od prvej sťažnosti po konečné rozhodnutie. Reforma zároveň presnejšie určuje, dokedy majú dotknuté dozorné orgány predložiť námietky a kedy sa má spor posunúť na EDPB (Netguardia).

Procesná zmena rieši rýchlosť. Nerobí však nič s hlavným nepomerom: jedna národná agentúra, zodpovedná írskym súdom a viazaná írskym správnym právom, nesie regulačnú zodpovednosť za technologické firmy, ktoré obsluhujú 450 miliónov Európanov. Keď Dixonová hovorí, že rámec má problém so systémovými otázkami (Law Society of Ireland), pomenúva práve to, čo reforma z roku 2027 necháva bokom. Rozhodnutia môžu prichádzať rýchlejšie, no stále pôjdu tým istým úzkym kanálom. Dôležitejšia otázka preto znie, či Európa raz prehodnotí samotný kanál, nielen rýchlosť pohybu v ňom.